MikroTik製ルーターを認証なしで遠隔掌握する脆弱性チェーン「MikroTrick」が判明、修正前の悪用も確認

要点

• MikroTikのRouterOSに存在する2件のSSH脆弱性を連鎖させ、パスワードやSSH鍵なしでルーターの完全な管理者権限を奪取できる攻撃手法「MikroTrick」が判明した。

• SSHの通信手順を不正にスキップする欠陥と、ログイン処理における引数インジェクションの欠陥が組み合わされている。

• パッチが公開された2026年9月3日の前日から実際の攻撃が観測されており、不正なアカウント作成や設定データの外部流出が確認されている。

• 攻撃の成立にはSSHポートへのアクセスが必要であり、インターネット経由で管理インターフェースを公開している機器が高いリスクに晒されている。

• ポーランドのセキュリティ機関であるCERT Polskaは、ネットワーク機器メーカーMikroTikのオペレーティングシステム「RouterOS」において、認証を経ずに管理者権限を不正取得できる深刻な脆弱性チェーン「MikroTrick」の技術分析を公開した。細工された通信により、パスワードやSSH鍵の検証を行わずにインターネット越しにルーターを完全に乗っ取ることが可能になるという。この問題は修正ファームウェアのリリース前日となる2026年9月2日の時点で既に悪用されていたことが確認されている。

通信手順のスキップと引数不正解釈を組み合わせる仕組み

MikroTrickは、RouterOSのSSH機能に存在する2つのセキュリティ欠陥を連続して悪用することで成立する。

1つ目の欠陥である「CVE-2026-67279」は、SSH接続の進行状態を管理するステートマシンの処理不備に起因する。通常のSSH接続では暗号化通信の確立、ユーザー認証、コマンド実行用チャンネルの開設という段階を順に踏む。しかし、認証処理の最中にクライアント側から暗号鍵の再交渉（再ネゴシエーション）を要求すると、再交渉の完了後に認証結果を確認しないままコマンド実行フェーズへ強制的に移行してしまう。この欠陥単体ではアクセス権限が付与されないものの、本来は認証に成功しなければ到達できない段階への侵入を許してしまう。

2つ目の欠陥「CVE-2026-86060」は、その侵入状態から最高権限を奪うために悪用される。RouterOSのSSHデーモンはログイン処理プログラム（/nova/bin/login）に入力されたユーザー名と権限情報を渡すが、この際にユーザー名の検証が適切に行われていない。ハイフンで始まる文字列を渡すとプログラムのオプションとして誤解釈される仕様となっていた。

攻撃者がユーザー名として「-2」を指定すると、ログインプログラムは端末のファイル記述子2（標準エラー出力等に割り当てられる識別番号）からユーザー情報と権限を読み取る動作を行う。攻撃者はあらかじめSSHチャンネルを通じて管理者権限の値を端末側に書き込んでおくことで、パスワードや公開鍵の検証を一切受けることなく、完全な管理者権限を持つコンソールセッションの確立に成功する。

パッチ公開前からの実攻撃と確認された被害痕跡

CERT Polskaの調査によると、この攻撃手法はMikroTikが修正パッチを配布する前から実際に悪用されていた。

RouterOSのログには、ユーザー名「-2」に対するログイン失敗という極めて特徴的な記録が残る。このパターンに合致するログは、修正版ファームウェアがリリースされた2026年9月3日より前の9月2日時点で、既にMikroTik公式フォーラム上で報告されていた。

フォーラムに投稿された診断レポートには、「-2」の認証拒否から鍵の再交渉、チャンネル開設を経て、管理者権限を持つ「ops」という不正アカウントを作成するコマンドが実行された形跡が記録されていた。一部の機器ではコマンド完了前にSSHプロセスが異常終了していたものの、複数の端末で「ops」アカウントの作成が成功していた事実が確認されている。さらに、機器の診断ファイルが生成された直後に攻撃者のIPアドレスへデータが送信された事例も見つかっており、ルーターの設定情報が外部へ抜き取られた可能性が極めて高いとみられている。

混同される別脆弱性との違いと公的機関の対応

今回の「MikroTrick」をめぐっては、一部の報道で別の脆弱性「CVE-2026-67276」が含まれているとの誤解が広がっていた。CERT Polskaの解説によると、CVE-2026-67276は既存ユーザーのRSA公開鍵を偽造してログインする単体の脆弱性であり、攻撃には対象のアカウント名と公開鍵を事前に知っている必要がある上、そのアカウントが持つ権限しか取得できない。認証を完全に迂回して新規に最高権限を得るMikroTrickとは性質が異なる独立した問題である。

一方で、MikroTrickを構成する引数インジェクションの脆弱性（CVE-2026-86060）については、米サイバーセキュリティ・インフラセキュリティ庁（CISA）が2026年9月10日付で「悪用が確認された脆弱性カタログ（KEV）」に追加しており、実際の攻撃活動で悪用されている脅威として注意を呼びかけている。

攻撃が成立する条件と影響を受ける環境

本攻撃が成立するためには、攻撃元から対象機器のSSHサービスへ通信が届く状態になっている必要がある。

MikroTikの説明によると、一般的な家庭向けなどのデフォルト設定ではSSHサービスがインターネット側へ公開されることはない。しかし、管理者がファイアウォール規則を変更して外部からのSSH接続を許可している場合や、信頼できないネットワーク越しにルーターを管理している環境では深刻な脅威となる。

MikroTikは本問題に対処するため、RouterOS 6.49.21、7.23.4、および7.24.2の各修正バージョンを提供している。なお、現時点で実際に侵害されたデバイスの公式な総数は公表されていない。