MikroTik RouterOS の SSH が再鍵交換後に未認証のまま exec を受け付ける（KEV・MikroTrick 連鎖）

Medium（CVSS 6.5）に分類されるMikroTik RouterOS（SSH サービス）の脆弱性です。**RouterOS の SSH サーバが、クライアントから求められた再鍵交換（rekey）のあと、利用者認証を一度も試みていないのに接続プロトコルの段階へ進んでしまう。** NVD の記述では、これにより**未認証のクライアントがセッションチャネルを開き、exec 要求を送れる**。CERT Polska の説明では、その結果として設定や診断用のサポートファイルを含む RouterOS 管理下のファイルを作成・上書きできる。 **CVSS だけを見ると Medium だが、これは KEV 収載による掲載である。** NVD（nvd@nist.gov）の CVSS 3.1 基本値は **6.5**（AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N）、報告者の CERT Polska（cvd@cert.pl）の CVSS 4.0 基本値は **6.9** である。一方 CISA は 2026-09-25 に KEV へ収載し、「CVE-2026-86060 の未認証での悪用に連鎖できる」と明記した。是正期限は **2026-09-28** と短い。 **単体ではなく「MikroTrick」連鎖の入口として悪用される。** Bishop Fox の 2026-09-17 の解析では、本件（再鍵交換で認証段階を飛ばす）が第1段、ユーザー名の引数処理の欠陥である CVE-2026-86060（当サイト掲載済み・CVSS 9.8）が第2段で、組み合わせると SSH に届くだけで**管理者権限を完全に奪える**。なお CERT Polska の 2026-09-05 の警告記事は、悪用が観測された組み合わせを CVE-2026-67276 と CVE-2026-86060 としており、連鎖の入口に使われた CVE の記述は情報源で異なる。いずれも同じ修正版で塞がる。 **影響を受ける版**（CERT Polska）: 6.0.0 以上 6.49.21 未満、7.0.0 以上 7.23.4 未満、7.24 以上 7.24.2 未満。CERT Polska は 2026-09-05 に RouterOS の6件（CVE-2026-67276 / 67277 / 67278 / 67279 / 67281 / 86060）を公表している。

**修正版へ上げる。** 自分の系列に応じて **6.49.21（Long-term）/ 7.23.4（Long-term）/ 7.24.2（Stable）** 以降へ更新する。CVE-2026-86060 と同じ修正版なので、そちらの対応を済ませていれば本件も塞がっている。 **SSH を信頼できないネットワークへ公開しない。** MikroTik の 2026-09 のセキュリティ告知は、手動で SSH を開けている場合は信頼できる IP だけに制限するか、WireGuard などの VPN 越しにするよう求めている。本件は SSH のプロトコル処理そのものの欠陥なので、**到達できなければ悪用されない**。`/ip service` で ssh の `address` を絞るか、ファイアウォールで 22/tcp（番号を変えていればその番号）を遮断する。CERT Polska は更新までの間、SSH・WWW/WWW-SSL・bandwidth-test など公開しているサービスを止めるか外部から遮断するよう勧めている。 **侵害の確認**: 修正版の RouterOS は起動時に既知の不正な設定変更を検出すると機器を **Flagged** 状態にし、ログに critical を残す（MikroTik）。Flagged でなくても、見覚えのないユーザー・スクリプト・スケジューラ・プロキシ・トンネルが無いか点検する（CERT Polska）。侵害が疑われる場合、CERT Polska は初期化の前に機器を隔離しログを確保するよう求めている。

MikroTik RouterOS（SSH サービス） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-67279）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/28 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。