MikroTik RouterOS が細工したSSHユーザー名で管理者権限を奪われる（KEV・悪用確認済み）

Critical（CVSS 9.8）に分類されるMikroTik MikroTik RouterOS。NVD の該当範囲は 6.0 以上 6.49.21 未満、7.0 以上 7.23.4 未満、7.24 以上 7.24.2 未満。修正版は 6.49.21（Long-term）、7.23.4（Long-term）、7.24.2（Stable）で、MikroTik は 7.25beta3 にも修正が入ったとしているの脆弱性です。**RouterOS の SSH ログイン処理が、禁止文字で始まるユーザー名を正しく扱わない。** NVD の記述によれば、この引数の扱いの欠陥により **RouterOS の信頼ポリシーマスク（trusted RouterOS policy mask）が書き換えられ、権限昇格に至る**。CERT Polska の解説では、細工したユーザー名を使うことで得られるセッションは **RouterOS 上のフル管理者権限**になる。悪用には RouterOS のログインヘルパーに届く未認証の SSH セッションが必要で、裏返せば **SSH ポートに届きさえすれば認証は要らない**。 **これは単独の脆弱性ではなく「MikroTrick」と名付けられた連鎖の一部である。** CERT Polska は 2026-09-05 の警告記事で、RouterOS に6件の脆弱性を発見・調整開示したと公表した。うち2件（SSH 認証バイパスの CVE-2026-67276 と、本件 CVE-2026-86060）を組み合わせると、**SSH でのリモートアクセスを受け付けている機器を認証なしで完全に掌握できる**。CERT Polska はこの連鎖に MikroTrick という共通名を付けている。 **「悪用されうる」ではなく「悪用されている」段階である。** CERT Polska は「ここ数日、インターネットからアクセスできる RouterOS 機器への攻撃を観測している」「攻撃者がこの組み合わせを悪用して、SSH サービスが公開ネットワークから到達できる機器を完全に掌握していることの確認を得た」と明記した。CISA も 2026-09-10 に KEV へ収載し、是正期限を 2026-09-13 としている。 **評価値は情報源によって指標が違う。** NVD（nvd@nist.gov）の CVSS 3.1 基本値は **9.8**（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、報告者である CERT Polska（cvd@cert.pl）の CVSS 4.0 基本値は **9.2** である。どちらも Critical で、**未認証・遠隔・利用者操作なし**という性質は一致している。 **MikroTik は当初、詳細を伏せて更新だけを促した。** 2026-09-03 のセキュリティ告知は「重要なセキュリティ更新である。ほとんどの構成は危険にさらされていないが、更新を強く推奨する」「システムを更新する時間を確保するため、現時点では詳細情報を公開しない」という書き方で、修正が 7.25beta3 / 7.24.2 / 7.23.4 / 6.49.21 に含まれるとだけ伝えている。**この告知だけを読んで緊急度を低く見積もった管理者は、実際には悪用が進行している状態を見落としていたことになる。**

**修正版へ上げる。** 自分の系列に応じて **6.49.21（Long-term）/ 7.23.4（Long-term）/ 7.24.2（Stable）** 以降へ更新する。RouterOS の「Check for updates」メニューから更新できる。MikroTik は 7.25beta3 にも修正が入っているとしているが、**本番機に beta を入れる必要はない**（自分のチャンネルの安定版で修正は入っている）。 **更新と同じくらい重要なのが、SSH の露出をやめることである。** MikroTik の告知は「SSH が信頼できないネットワークへ開いていないことを確認する」「既定の構成ではインターネットからこのポートを遮断しているが、手動で開けた場合は信頼できる IP だけに制限するか、WireGuard のような強力な VPN を使い、管理ポートをまったく開けないほうがよい」と述べている。**本脆弱性は SSH のログイン処理そのものにあるので、到達できなければ悪用されない。** RouterOS のファイアウォールで管理系サービスを絞るか、`/ip service` で SSH の `address` を信頼できる範囲に限定する。 **修正版は「侵害チェック機構」を持っている。** MikroTik によれば、修正済み RouterOS は起動時に設定を走査し、既知の不正な変更の痕跡を見つけると**機器を Flagged 状態にしてログに critical のエントリを書く**。CERT Polska の説明では、認識した不審な設定項目を無効化したうえでこの状態にする。**Log セクションに Flagged の critical エントリがあれば、MikroTik の Flagged status ドキュメントの手順に従う**こと。 **Flagged でなくても、更新後に設定を自分の目で点検する。** MikroTik は「Flagged 状態でなくても、RouterOS の更新後に、身に覚えのないスクリプト・ユーザー・その他の設定が無いか点検する」よう求めている。CERT Polska はより具体的に、**不明なユーザー、スクリプト、スケジューラのタスク、プロキシサーバ、トンネル**を確認せよと挙げている。RouterOS では次を見るとよい。 ``` /user print /system script print /system scheduler print /ip proxy print /interface print where type~"tunnel|eoip|gre|ipip|l2tp|pptp|sstp|ovpn" /ip firewall nat print ``` **掌握された機器は、設定の一部を消すだけでは戻らない可能性がある。** root 相当の権限を取られているので、認証情報（管理者パスワード・SSH 公開鍵・SNMP コミュニティ・VPN の事前共有鍵）はすべて入れ替える前提で考える。**RouterOS の管理者アカウントで使い回しているパスワードが他機器にもあるなら、そちらも替える。** **同じ MikroTrick 連鎖のもう1件（CVE-2026-67276・SSH 認証バイパス・CERT Polska 評価 CVSS 9.2）も同じ修正版で塞がる**ので、版を上げれば個別に対応を分ける必要は無い。

MikroTik MikroTik RouterOS。NVD の該当範囲は 6.0 以上 6.49.21 未満、7.0 以上 7.23.4 未満、7.24 以上 7.24.2 未満。修正版は 6.49.21（Long-term）、7.23.4（Long-term）、7.24.2（Stable）で、MikroTik は 7.25beta3 にも修正が入ったとしている を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-86060）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/13 です。早急な対応が推奨されます。