MikroTik RouterOS の帯域テストが未認証でカーネルメモリ漏えいと再起動を起こす（KEV）

High（CVSS 8.2）に分類されるMikroTik MikroTik RouterOS の bandwidth-test（btest）サービス。NVD の該当範囲は 6.0 以上 6.49.21 未満、7.0 以上 7.23.4 未満、7.24 以上 7.24.2 未満。修正版は 6.49.21（Long-term）、7.23.4（Long-term）、7.24.2（Stable）の脆弱性です。**RouterOS の帯域テスト（bandwidth-test / btest）サービスが、認証が済む前の段階で「related」接続を受け入れてしまう。** NVD の記述によれば、未認証のクライアントがこの状態を使って IPv4 の UDP テストを開始でき、`random-data=false` のとき**送信側はカーネルのパケットバッファの未初期化部分をそのまま送出する**。さらに、パケットサイズの検証区間が反転したまま未チェックであることから**符号なし整数のアンダーフロー**が起き、異常に大きな断片化出力が生じて **RouterOS のカーネルを再起動させうる**。 **実害は2種類ある。** ひとつは**カーネルメモリの漏えい**で、ルータが処理していた他の通信の断片が外部へ出る可能性がある。もうひとつは**遠隔からの DoS** で、機器が再起動する。CERT Polska はこの2点を「kernel memory leakage or a remote DoS attack leading to a system restart」とまとめている。 **同じ「MikroTrick」の一連として公表されたが、位置づけは前の2件と異なる。** CERT Polska が調整開示した6件のうち、機器の完全掌握につながるのは SSH 認証バイパス（CVE-2026-67276）と SSH ユーザー名による権限昇格（CVE-2026-86060）の組み合わせである。本件は**単独では管理者権限の奪取には至らない**が、未認証で到達できる点と、漏えいしたメモリ内容が他の攻撃の材料になりうる点で軽視できない。 **評価値**は NVD（nvd@nist.gov）の CVSS 3.1 が **8.2**（AV:N/AC:L/PR:N/UI:N/S:U/**C:L/I:N/A:H**）、CERT Polska（cvd@cert.pl）の CVSS 4.0 が **8.8** である。CVSS 3.1 のベクタが示すとおり、**機密性への影響は Low、完全性への影響は無し、可用性への影響が High** という配分で、「掌握」ではなく「漏えい＋停止」の脆弱性であることが数値にも表れている。 **CISA は 2026-09-10 に KEV へ収載し、是正期限を 2026-09-13 とした。** 収載は MikroTrick 連鎖の他の CVE と同日である。

**対処は CVE-2026-86060 と同じ更新で足りる。** 6.49.21（Long-term）/ 7.23.4（Long-term）/ 7.24.2（Stable）以降へ上げれば本件も塞がる。**同じ告知・同じ修正版なので、MikroTrick 関連を個別に対応する必要は無い。** **更新までの緩和としては、帯域テストサービスを止めることが直接的に効く。** btest サーバは RouterOS の設定で無効化できる。 ``` /tool bandwidth-server print /tool bandwidth-server set enabled=no ``` **これは本番運用で帯域テストを常用していない限り、副作用の小さい措置である。** 帯域測定は必要なときだけ有効化して、終わったら戻すのが本来の使い方に近い。どうしても有効にしておく必要がある場合は、`allocate-udp-ports-from` / `authenticate=yes` の設定と、ファイアウォールで btest の待ち受けポート（既定 2000/tcp・UDP）への到達元を信頼できる範囲に絞ることを併用する。 **「更新したから終わり」にしない。** 本件は掌握の脆弱性ではないが、同じ機器には掌握に至る CVE-2026-67276 / CVE-2026-86060 が同居していた。**SSH がインターネットへ開いていた機器は、本件の対処とは別に侵害の有無を点検する**必要がある。修正版の RouterOS は起動時に設定を走査して不審な変更があれば Flagged 状態にするので、まず Log セクションを見る。Flagged でなくても、不明なユーザー・スクリプト・スケジューラのタスク・プロキシ・トンネルを確認する（CERT Polska の推奨）。 **漏えいしたメモリ内容は取り戻せない。** btest を有効にしたままインターネットへ露出していた期間があるなら、その機器を通っていた通信のうち平文のもの（管理系の Telnet・SNMP v1/v2c のコミュニティ名など）は、外部へ出た可能性を前提に入れ替えるのが安全側の判断である。

MikroTik MikroTik RouterOS の bandwidth-test（btest）サービス。NVD の該当範囲は 6.0 以上 6.49.21 未満、7.0 以上 7.23.4 未満、7.24 以上 7.24.2 未満。修正版は 6.49.21（Long-term）、7.23.4（Long-term）、7.24.2（Stable） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-67277）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/13 です。早急な対応が推奨されます。