概要

MikroTik製ルーターの基本ソフトウェア「RouterOS」に存在する脆弱性を連鎖させ、SSHをインターネットに公開したデバイスを認証なしで完全に乗っ取る攻撃手法「MikroTrick」が実際に悪用されていることが明らかになった。攻撃は少なくとも9月2日から確認されており、The Shadowserver Foundationの調査によると9月5日時点の24時間スキャンで12万2500台以上のMikroTik製デバイスがSSHインターフェースを公開した状態で検出されている。脆弱性を発見したポーランドのCERT Polskaは、悪用の自動化を助けるような技術的詳細の公開を控えているが、パッチの差分解析から手口が広く知られる可能性があるとして、早急な対応を呼びかけている。

脆弱性の技術的な仕組み

MikroTrickの中核をなすのは2つの脆弱性の組み合わせだ。1つ目のCVE-2026-67276(CVSS 9.2)は、RouterOSがSSHの公開鍵認証においてRSA鍵全体ではなく公開モジュラスのみを比較してしまう不備によるSSH認証回避の脆弱性で、攻撃者は既知のユーザー名と公開モジュラスさえ分かれば、正規の秘密鍵を持たずに別の鍵を細工してログインできてしまう。2つ目のCVE-2026-86060(CVSS 9.2)は、禁止文字で始まる特殊なSSHユーザー名の処理に欠陥があり、これを悪用することで完全な管理者権限への昇格が可能になる特権昇格の脆弱性だ。この2つを連鎖させることで、攻撃者は認証情報を一切持たないままルーターの完全な制御を奪える。さらに関連する脆弱性としてCVE-2026-67277(CVSS 8.8)も報告されており、こちらは帯域幅テストサービスの欠陥で、未認証の接続からカーネルメモリの漏えいやルーターのクラッシュ・再起動を引き起こせるとされる。

発見の経緯と被害の実態

これらの脆弱性はポーランドのセキュリティ機関CERT Polskaによって発見された。報道によれば、OpenAIとの政府向け協力プログラムを通じてGPT-5.5-cyberおよびGPT-5.6-solといったAIモデルの支援を受けた調査の中で見つかったという。侵害の痕跡としては、ユーザー名「-2」を含むSSHログイン失敗のログエントリや、システムに追加された高権限アカウント「ops」の存在、また攻撃元として82.192.72.4や103.102.31.18といったIPアドレスが挙げられている。CERT Polskaは、公開されたパッチを比較分析すれば脆弱性の技術的詳細がコミュニティによって再現され得ることを認めつつ、攻撃の自動化を容易にするような詳細な手口の公開はあえて避けているとコメントしている。

対応状況と推奨される対策

MikroTikは9月3日、これらの脆弱性を修正したRouterOSのアップデート版(7.25beta3、7.24.2、7.23.4、6.49.21)を既にリリースしている。修正版には、起動時に不正な設定変更がないかをスキャンし、侵害の疑いがある場合に「Flagged」マーカーを付与する検知機構も新たに搭載された。ユーザーに対しては直ちにアップデートを適用することに加え、SSHやWWW/WWW-SSL、帯域幅テストサービスといったインターネットに公開されている管理系サービスを無効化するか、信頼できるネットワークからのみアクセス可能に制限することが強く推奨されている。既に侵害が疑われる場合は、ルーターをネットワークから隔離した上でログや設定を保全し、工場出荷状態にリセットして検証済みのバックアップから復旧し、関連する全ての認証情報をローテーションする対応が求められる。攻撃が現在進行形で拡大している状況を踏まえ、インターネットに管理インターフェースを公開したままのMikroTik機器を運用する組織は、早急な点検が急務となっている。