CVE-2026-67276: MikroTik RouterOS SSHゼロデイを利用したルーター乗っ取り攻撃

MikroTikは、研究者たちがインターネットに面したルーターに対する重大度の高いSSH認証バイパスを攻撃者が積極的に利用していると確認した後、緊急のRouterOSセキュリティアップデートをリリースしました。CVE-2026-67276として追跡され、CVSSスケールでは9.2と評価されたこの欠陥は、攻撃者が正当なRSAプライベートキーを持たずに既存のRouterOSユーザーとして認証することを可能にします。

この脆弱性は、別のSSH特権昇格の弱点であるCVE-2026-86060と組み合わせると、さらに危険になります。CERT Polskaは、この2段階の攻撃チェーンを MikroTrick と名付け、攻撃者がRouterOSデバイスのSSHサービスにアクセスできるパブリックネットワークから完全な管理制御を取得するために利用していることを確認しました。

証拠によれば、攻撃は早くも 2026年9月2日に始まっており、MikroTikが公開されたRouterOSビルドのパッチを9月3日にリリースする1日前です。成功した攻撃では、非常に特権のあるアカウントが作成され、デバイスの構成が変更され、管理者が積極的に調査して侵害されたシステムを再構築するまで存続する可能性のあるアクセスが確立されました。

CERT Polskaにより公開された、より広範囲の MikroTrickの欠陥 は、SSHサーバーおよびクライアントの機能性、帯域幅テストサービス、X.509証明書の検証、WebFig管理インターフェイスに影響を与える6つのRouterOSの脆弱性を含んでいます。しかし、CVE-2026-67276とCVE-2026-86060は、現在アクティブなフルデバイステイクオーバー攻撃で確認された組み合わせを形成しています。

CVE-2026-67276の解析

この脆弱性は、SSH認証中にRouterOSがRSA公開鍵をどのように検証するかに由来します。RouterOSは許可されたユーザーに関連付けられた完全な公開鍵を比較しませんでした。代わりに、RSAキーの一部のみが十分に検証され、特別に構築された代替キーが、本来拒否されるべき条件下で受理されることを許しました。

CVE-2026-67276の最も重要な詳細は、攻撃者が有効なRouterOSユーザー名と、そのユーザーの許可されたRSA SSHキーに関連する公開モジュラスを知る必要があることです。攻撃者はその後、脆弱性のある検証プロセスを通過する別のキーを構築し、対応するプライベートキーを持たずに認証することができます。

この欠陥単独の成功した利用により、攻撃者は偽装されたアカウントに割り当てられた同じRouterOS権限を持つことができます。ターゲットユーザーが既に管理権を持っている場合、それはデバイスに対する重要な制御を直接提供するかもしれません。ユーザーの権限がより制限されている場合、攻撃者はCVE-2026-86060と組み合わせてさらに昇格させることができます。

CVE-2026-86060は、禁止された文字で始まる特別に作成されたSSHユーザー名の不適切な処理に由来します。この欠陥により、SSHセッションに関連付けられたRouterOSポリシーマスクを操作し、完全な管理権への特権昇格を可能にします。CERT Polskaは、SSHが公開されている場合、2つのセキュリティの脆弱性を一緒に悪用することが、RouterOSデバイスの認証なしの奪取を可能にすると確認しています。

このチェーンは特に重要です。なぜなら、有効な管理者パスワードやプライベートSSHキーを盗む必要がないからです。SSHサービスにアクセス可能な外部のアクターは、作成された認証試行から特権のあるRouterOSセッションに移行し、管理操作を行うことができるかもしれません。

観察された攻撃でのMikroTik RouterOSの悪用の試みは、SSHを直接インターネットに公開しているデバイスに焦点を当てています。MikroTikは、デフォルトのホーム構成は通常すぐには公開されませんが、管理者がパブリックSSHを有効にしたり、ファイアウォールルールを変更したりした場合には、かなり大きなリスクに直面する可能性があると指摘しています。

CVE-2026-67276は、以下のRouterOSリリース範囲に影響します：

• RouterOS 7.24からバージョン7.24.2未満
• RouterOS 7.0.0からバージョン7.23.4未満
• RouterOS 6.0.0からバージョン6.49.21未満

CERT Polskaは、脆弱性を CWE-347: 暗号署名の不適切な検証に分類しました。同じ研究で公開されたすべての6つのRouterOSセキュリティ問題は、同じ広範囲の影響を受けるリリース範囲を共有しています。

脆弱性は、MikroTikと協力して行われたセキュリティ研究の一部としてCERT Polskaによって発見されました。研究者たちは、RouterOSコンポーネントを分析し、ソフトウェアバージョンを比較し、プロトコル状態をモデル化し、実際のテストシステムに対する仮説を検証するために、AIモデルを支援するエージェントベースのラボ環境を使用しました。それぞれの発見は、公開前に手動と繰り返しのテストによって確認されました。

正確なプライベート発見日は公開されていません。MikroTikは、セキュリティ修正を 2026年9月3日にリリースし、CERT Polskaは9月5日に技術情報と割り当てられたCVEを公開しました。実世界の証拠は、少なくとも9月2日から攻撃が既に行われていたことを示し、このキャンペーンにはゼロデイの特徴があります。

研究者たちは、 82.192.72[.]4から攻撃が成功したことを確認し、 103.102.31[.]18に関連する試みも発見されました。観察された侵害は、opsという高特権のあるRouterOSユーザーを作成しました。

Security Affairsは、82.192.72[.]4にインフラストラクチャがあり、MIPS BusyBoxバイナリとftpsrv.py、launch.sh、serve.pyという名前のファイルがホストされていると報告しました。利用可能な証拠は、この活動が特定の脅威グループに結び付けられているか、侵害されたルータがボットネット、プロキシネットワーク、スパイ活動インフラあるいは他の活動に組み込まれているかどうかをまだ確認していません。

観察された攻撃チェーンは、特にRouterOSログと構成履歴に有用なアーティファクトを残します。失敗した攻撃の試みは次のようなエントリを生成することがあります：

ユーザー -2 のログイン失敗 <ip> 経由のssh

成功した活動は次のように表示されるかもしれません：

ユーザー <名前> が ssh:-2@<ip> によって追加されました

文字列-2は特に疑わしいもので、通常のRouterOSユーザー名ではなく、特権操作段階の悪用に関連しています。

CVE-2026-67276の公開されたPoCは、SSH認証弱点の制御された実験室テストのために現在利用可能です。その存在により、欠陥の独立した再現に対する障壁がさらに低下し、スキャンと悪用がより広範囲に行われる前にパッチを当てる必要性が強調されています。

有用なCVE-2026-67276のIOCには、現在、観察された2つのソースIPアドレス、異常な-2 SSHユーザー名、opsアカウント、およびssh:-2@<IP>に起因する構成変更が含まれます。Security Affairsは、関連する攻撃者インフラから回収されたファイルのいくつかのハッシュも公開しました。

CVE-2026-67276の緩和策

MikroTikとCERT Polskaは、RouterOSを直ちにアップグレードすることを推奨しています。修正は以下のバージョンで利用できます：

• RouterOS 7.25 ベータ 3 以降
• RouterOS 7.24.2 以降
• RouterOS 7.23.4 以降
• RouterOS 6.49.21 以降

MikroTikはその後、RouterOS 7.23.5 をリリースしました。IPv6 DHCP回帰が7.23.4で発見されたためです。長期間の7.23ブランチを使用している組織は、そのため、意図的に7.23.4で止まるのではなく、利用可能な最新のメンテナンスビルドを使用すべきです。

更新後、RouterOSは不正な構成変更の既知のインジケータを選択してスタートアップチェックを実行します。疑わしい変更が確認された場合、デバイスには フラグ付き ステータスが割り当てられ、関連する構成エントリが無効にされ、システムログにクリティカルな警告が書き込まれます。

管理者は以下を使用してこの状態を確認できます：

/system/device-mode/print

フラグ付きの結果は、デバイスが侵害されている可能性の証拠として扱われるべきです。しかし、MikroTikもCERT Polskaも フラグ付きのマーカーがないことがルーターがクリーンであることを証明するものではないと強調しています。このメカニズムは既知のアーティファクトを選択して検出することしかできません。

したがってCVE-2026-67276の検出はパッチの確認、ログのレビュー、構成の検査、最近作成されたアカウントおよび管理変更の分析と組み合わせて行うべきです。

To CVE-2026-67276の悪用または関連するMikroTrick活動を検出するために、防御者は次のことを探すべきです： exploitation or related MikroTrick activity, defenders should look for:

• ユーザー-2 …via sshのログイン失敗
• ssh:-2@<IP>に起因する管理操作
• opsという予期しない特権アカウント
• 82.192.72[.]4を含む接続
• 103.102.31[.]18を含む接続
• 新しく追加されたまたは変更されたSSH公開鍵
• 不明なユーザーまたは変更されたユーザー権限
• 予期しないRouterOSスクリプト
• 疑わしいスケジューラータスク
• 新たに有効化されたプロキシまたはトンネル
• 説明のつかないファイアウォールやNATの修正
• 管理者が作成していないパケットスニッフィングやトラフィック転送の設定
• SSH活動に続くその他の予期しない構成変更

管理者がすぐにパッチを適用できない場合、CERT Polskaは外部に公開されたサービスの無効化または信頼できる管理ネットワークへの限定的な適用を推奨します。これは特に SSH、WWW/WWW-SSL、帯域幅テストサーバー.

未パッチのデバイスはまた、不信のシステムへのSSHまたはTLS接続の開始を避けるべきです。CERT Polskaは具体的に、RouterOSのビルトイン/system sshおよび/system ssh-execクライアントを、同じ研究で公開された他の脆弱性がRouterOSのクライアントサイドの信頼性とプロトコルの処理に影響を与えるため、更新が適用されるまで避けることを推奨しています。

これらの措置は露出を低減しますが、ベンダーの更新に取って代わるものではありません。

ログ、フラグ付きステータス、不明なopsアカウント、またはその他の構成の証拠が侵害を示唆する場合、管理者はルーターを完全に攻撃者に制御されているものとして扱うべきです。影響を受けたデバイスは隔離され、修復前に関連するログと構成の証拠を保存することが推奨されます。

その後、CERT Polskaはデバイスを 工場出荷状態 に戻し、信頼できる検証済みのソースから構成を再構築することを推奨しています。潜在的に侵害されたルーターから作成された完全なバックアップを単に復元するのではなく、悪意のあるユーザー、スクリプト、SSHキー、スケジューラーエントリ、プロキシ、トンネルが再導入される可能性があるからです。

すべてのパスワード、SSH鍵、API認証情報、VPNシークレット、および侵害されたデバイスにさらされたまたは保存された他の認証素材もローテーションする必要があります。

CVE-2026-67276の緩和優先順位は、9月3日以前にSSHをパブリックインターネットに公開していたルーターに対して特に高いです。アクティブな攻撃がセキュリティアップデートが公開される前に始まっているため、これらのシステムのパッチには防止的な保守だけでなく、回顧的な調査を伴うべきです。