MikroTik SSHゼロデイ攻撃、露呈した12万2,500台のルーターに影響

MikroTikルーターに対する活発な悪用が確認される

セキュリティ研究者らは、RouterOSを搭載したMikroTikルーターに影響する重大な脆弱性チェーンが、実際の環境で活発に悪用されていることを確認した。MikroTrickと名付けられたこの攻撃は、2つの脆弱性を組み合わせたものである：CVE-2026-67276（SSH認証バイパス）とCVE-2026-86060（SSHセッションを完全な管理者権限に昇格させることを可能にする権限昇格バグ）。この2つの脆弱性を組み合わせることで、攻撃者は正当な認証情報を必要とせずに、脆弱なルーターへの完全なアクセスを獲得できる。

これは理論上のリスクではない。報告によれば、悪用は9月初旬から継続しており、研究者らはSSH管理ポートをインターネットに直接公開している12万2,500台以上のMikroTikデバイスを特定している。これらのデバイスは、自動スキャンや攻撃ツールにとって到達可能な標的となっている。侵害されたルーターは、攻撃者によって追加された不正な「SSH user 2」アカウントという特徴的な痕跡を示すことがある。これは、侵入の静かだが目に見える指紋である。

MikroTrick攻撃チェーンの仕組み

ルーターが魅力的な標的となるのは、まさにネットワークの境界に位置し、家庭や企業を出入りするすべてのトラフィックパケットをルーティングするからである。侵害されたルーターは、デバイス自体を露出させるだけでなく、攻撃者にトラフィックの傍受、DNSクエリのリダイレクト、内部ネットワークへのピボット、さらには分散型サービス妨害（DDoS）キャンペーンなどの大規模な攻撃のためにデバイスをボットネットに組み込む足がかりを与える可能性がある。

MikroTrickチェーンが特に憂慮すべきなのは、管理者がまさに安全であるはずだからこそ依存しているプロトコルであるSSHを標的にしている点である。認証を完全にバイパスし、セッション内で権限を昇格させることで、攻撃者はパスワードの推測や脆弱な認証情報の悪用という通常の障壁を回避する。SSHが公開インターネットに露出し、未パッチ版を実行しているRouterOSデバイスはすべて、潜在的な標的となる。

MikroTikはこれらの脆弱性に対する修正をリリースしており、パッチ適用済みバージョンはRouterOS 7.24.2、7.23.5、6.49.21で利用可能である。古いバージョンや未パッチのビルドを実行している管理者は、更新するまで露出したままとなる。

ネットワークセキュリティだけでなくプライバシーにとって重要な理由

ルーターの脆弱性をネットワーク管理者のIT問題と考えるのは簡単だが、プライバシーへの影響ははるかに広範囲に及ぶ。ルーターは、家庭や企業のすべてのインターネットトラフィックが通過する単一のポイントである。侵害された場合、攻撃者は暗号化されていないトラフィックを監視したり、DNSを操作してユーザーを悪意のあるサイトにリダイレクトしたり、デバイスを監視やノートパソコン、スマートホーム機器、防犯カメラなどの接続デバイスへのさらなる侵入のための発射台として使用したりする可能性がある。

このようなインフラレベルの侵害は、脅威の状況全体に見られるより広範なパターンを反映している。そこでは、攻撃者は人々が安全を守るために信頼するツールをますます標的にしている。国家支援を受けた攻撃者が広く使用されているソフトウェアのゼロデイ脆弱性を悪用して特定のグループを標的にしているのと同様に、日和見的で金銭的動機を持つ攻撃者は、ルーターレベルのゼロデイを大規模に悪用し、単一の標的ではなく露出したあらゆるデバイスを狙っている。MikroTrickキャンペーンはこの後者のカテゴリーに該当するようだ：脆弱なまま残されたあらゆるインターネット接続デバイスに対する、広範かつ自動化された悪用である。

あなたへの影響

あなたまたはあなたの組織がMikroTikルーターを使用している場合、最初のステップはSSH管理が公開インターネットに露出しているかどうかを確認することである。ほとんどの家庭や小規模ビジネスの環境では、SSHを広範なインターネットに開放しておく正当な理由はほとんどない。SSHは信頼できる内部ネットワークに制限するか、VPNトンネル経由でのみアクセスすべきである。

次に、RouterOSのバージョンを確認する。7.24.2、7.23.5、6.49.21以降を実行していない場合、更新は任意ではなく緊急事項として扱うべきである。悪用がすでに進行していることを考えると、未パッチのデバイスは理論上のリスクではなく、現在まさに積極的に標的にされている。

最後に、デバイスに侵害の兆候がないか確認する。特に、研究者らがこの特定の攻撃チェーンに関連する指標としてフラグを立てている、予期しない「SSH user 2」ログインなどの見慣れないユーザーアカウントに注意する。不正アクセスの証拠を見つけた場合、ファクトリーリセットとその後の新しいパッチ適用済みインストールが最も安全な道であり、露出した可能性のある認証情報のローテーションも行うべきである。

実践可能な takeaways

MikroTikルーターの所有者は、これを遠い脅威ではなく行動への呼びかけとして扱うべきである。直ちにRouterOSをパッチ適用済みバージョンに更新し、公開インターネットからのSSHアクセスを無効化または制限し、デバイスのログとユーザーアカウントに改ざんの兆候がないか検査する。MikroTikデバイスのフリートを管理するネットワーク管理者は、展開全体にわたってインターネットに面した管理インターフェースの監査を優先すべきである。単一の露出したルーターが、他の点では十分に保護されたネットワークのセキュリティを損なう可能性があるからである。パッチを最新の状態に保ち、不要なインターネット露出を最小限に抑えることが、これおよび将来のルーターを標的とした悪用キャンペーンに対する最も効果的な防御であり続ける。