ポーランドの国家CSIRTであるCERT Polskaは2026年9月5日、MikroTikのルーターOS「RouterOS」に見つかった6件の脆弱性の開示調整（coordinated disclosure）を完了したと発表した。同チームはこのうち2件を組み合わせた攻撃チェーンに「MikroTrick」という共通名を付け、SSHがインターネットに公開された機器では攻撃者が認証なしに機器を完全に制御できると説明している。さらに同チームは、9月2日以降にこの組み合わせを悪用する実攻撃を確認したことも明らかにした。
6件の脆弱性 — SSH認証回避と権限昇格が中核
CERT Polskaが公開した脆弱性は以下の6件で、いずれも同チーム自身の調査で発見したものだ。影響を受けるのはRouterOSの「7.24未満」「7.0.0以上7.23.4未満」「6.0.0以上6.49.21未満」の範囲で、修正版は6.49.21、7.23.4、7.24.2（および開発チャンネルの7.25beta3）に含まれている。
- CVE-2026-67276（CVSS 9.2）— SSH認証の回避：RouterOSはSSH認証の際、登録済みRSA公開鍵の全体を比較せず、鍵の種類と modulus（法）のみを確認していた。攻撃者は対象アカウントのmodulusを知っていれば、指数が1の偽造鍵を作り、秘密鍵を持たずに対象アカウントとしてSSHログインできる。
- CVE-2026-86060（CVSS 9.2）— SSHログイン経路での権限操作：禁止文字で始まる細工したユーザー名を使うと、信頼済みポリシーマスクが変更され、完全な管理者権限のセッションが得られる。
- CVE-2026-67277（CVSS 8.8）— 帯域測定サービス経由のメモリ露出と再起動：bandwidth-test（btest）サービスが、認証完了前には到達できないはずの状態に未認証接続を遷移させ、カーネルメモリの漏えいや再起動（DoS）を引き起こせる。
- CVE-2026-67278 — X.509検証不備によるTLSサーバーなりすまし：不正なRSA署名を受け入れる問題と、信頼ストア内の指数e=3のルートCAを悪用し、任意ホスト名の証明書を偽造できる。
- CVE-2026-67279 — SSH再キー要求による未認証のファイル操作：認証を一度も試みていないのに接続プロトコルへ遷移し、設定や診断データを含むファイルの作成・上書きができる。
- CVE-2026-67281 — WebFigの未認証ファイル読み取り：
/jsproxy経路で未初期化の権限情報が使われ、未認証の攻撃者がファイルを読み取れる。
実攻撃の確認 — 9月2日以降、管理者アカウントの作成を観測
CERT Polskaによると、同チームは数日前からインターネットに公開されたRouterOS機器への攻撃を観測し、「MikroTrick」の組み合わせが実際に悪用されて機器が完全に制御されていることの確認を得た。確認された攻撃は少なくとも9月2日から発生している。
攻撃の痕跡として、同チームは以下を挙げている。
- RouterOSのログに残る
login failure for user - 2 from <IP> via sshという記録 user <名前> added by ssh:-2@<IP>というアカウント作成の記録- 身に覚えのない高権限ユーザー（例：名前が「ops」のアカウント）の存在
- 実攻撃の送信元として確認されたIPアドレス
82.192.72.4（「ops」作成を含む攻撃）、攻撃試行に使われた103.102.31.18
ただし同チームは、これらの痕跡がないことが安全の証明にはならないとも注意している。
推奨される対応 — 即時更新と侵害の点検を
CERT Polskaは、修正を含むバージョン（7.25beta3、7.24.2、7.23.4、6.49.21のいずれか）への即時更新を推奨している。更新後は、ログの侵害警告と /system/device-mode/print コマンドのFlaggedマーカーを確認し、身に覚えのないユーザー、スクリプト、スケジューラー、プロキシ、トンネルがないか設定を点検するよう求めている。
すぐに更新できない場合の一時策として、同チームは以下を挙げている。いずれも攻撃対象を減らす措置であり、更新の代替にはならないとしている。
- SSH、WWW/WWW-SSL、bandwidth-testサーバーなど外部公開サービスを無効化するか、信頼できる管理ネットワーク以外からのアクセスを遮断する
- 未更新の機器からはTLS接続を開始せず、内蔵SSHクライアント（
/system ssh、/system ssh-exec）を使わない
侵害の可能性が示された場合は、ログと設定を保全してから機器をネットワークから隔離し、信頼できる設定をもとに初期化して再構築し、パスワードや鍵などの秘密情報を変更するよう求めている。Flaggedマーカーは分析完了と証拠保全の前に消さないこと、観測した攻撃情報は所管のCSIRTへ報告することも呼びかけている。
補足 — 発見にはLLMを活用したエージェント型調査を利用
CERT Polskaによると、今回の脆弱性は同チームが用意した隔離実験環境で、研究者の選定・監督のもと、OpenAIの政府・信頼機関向け協力枠組み（GTAC）で提供されたモデル（GPT-5.5-cyber、GPT-5.6-sol）を使ったエージェント型の調査により発見した。単一の指示で見つかったものではなく、仮説の検証を重ねた結果だと説明している。
なおMikroTikは9月3日の公式セキュリティ情報で、修正版の公開と更新の推奨を発表していた（詳細は更新猶予のため非公開）。CERT Polskaによると、MikroTikは今回の更新に合わせて、アプリ利用者のスマートフォンへプッシュ通知を初めて送信した。
出典
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。