- MikroTrick攻撃は、複数の重大なSSH脆弱性を連鎖的に利用することで、認証を回避し、権限をrootレベルまで昇格させる攻撃です。
- アクティブな攻撃は、インターネットに接続されたRouterOSデバイスに影響を与え、パスワードなしで完全な制御を可能にします。
- 完全な修復には、システムの更新、公開管理ポートの閉鎖、および徹底的な永続性監査の実施が必要です。
ご自宅やオフィスでMikroTikルーターをご利用の方は、重大な警告が発令されていることをお知らせいたします。研究者らは、 MikroTrickと呼ばれる脆弱性を発見しました。これは、悪意のある攻撃者が許可やパスワードなしでデバイスにアクセスできるセキュリティ上の欠陥の組み合わせです。さらに悪いことに、SSHサービスが公開されている場合、攻撃者はデバイスを完全に制御し、ゲートウェイをネットワークに出入りするすべての情報を監視する中央ハブに変えてしまう可能性があります。
この問題は単なる理論上の問題ではなく、現実世界で悪用されています。ルーターを制御する者はトラフィックを制御し、DNSルートを変更して偽のウェブサイトにリダイレクトしたり、バックドアを作成してコンピュータや内部サーバーに侵入したりできるため、リスクは極めて深刻です。長くて複雑なパスワードを使用するだけでは不十分で、脆弱性は認証システム自体にあります。つまり、ロックが破られており、ハッカーは接続を操作するだけで簡単にアクセスできてしまうのです。
MikroTrick攻撃の構造
この仕組みを理解するには、MikroTrickが単一のバグではなく、一連の脆弱性の連鎖であることを知っておくことが重要です。最初の脆弱性はCVE-2026-67279です。通常、SSH経由で接続する際には厳格な認証プロセスが行われますが、この脆弱性は鍵の再生成時に発生します。攻撃者はこのプロセスを強制的に実行することで、ルーターがIDチェックを回避し、パスワードを入力せずにコマンドラインフェーズに進むことができます。
しかし、アクセス権を取得するのはほんの始まりに過ぎません。本当の脅威はCVE-2026-86060にあります。これは、侵入者が権限を昇格させる脆弱性です。RouterOSのログインシステムはユーザー名を適切にフィルタリングしていません。ハッカーがハイフンで始まる文字列、具体的には「-2」という値を送信すると、デバイスは混乱し、攻撃者が制御する内部チャネルから権限を読み取ってしまいます。その結果、システムは攻撃者に何の根拠もなく完全な管理者権限を与えてしまい、デバイス上で何でもできてしまうのです。
その他のセキュリティ上の脆弱性も検出されました
MikroTrickが主な標的となっているものの、他にも深刻な脆弱性が存在します。例えば、CVE-2026-67276はRSA鍵に影響を与えます。認証済み鍵のモジュラスを知っている攻撃者は、指数を1に設定した署名を偽造することでシステムを欺き、正規ユーザーとしてログインすることが可能です。
一方、WebFigの脆弱性（CVE-2026-67281）では、JavaScriptプロキシの欠陥により、認証されていないユーザーでも機密性の高いシステムファイル（秘密鍵を含む設定ファイルなど）を読み取ることが可能です。また、帯域幅テストツール（CVE-2026-67277）にも脆弱性が検出されており、ルーターが再起動したりカーネルメモリが漏洩したりする可能性があります。さらに、X.509証明書検証の欠陥（CVE-2026-67278）により、ルーターが安全でないネットワーク上でTLS接続を開始した場合に、リモートサーバーのなりすましが可能になります。
詐欺に遭ったかどうかを見分ける方法
ルーターが侵害された疑いがある場合は、安易に再起動しないでください。ログはメモリに保存されているため、証拠が消去されてしまう可能性があります。まず最初に、ログを確認してユーザー「-2 」や、 82.192.72.4や103.102.31.18などの疑わしいIPアドレスからのログイン試行がないか確認してください。また、自分が作成した覚えのない「ops」という名前のユーザーが完全な権限を持っている場合も、明らかな兆候です。
MikroTik は、 フラグシステムを更新した後、コマンドを実行すると /system device-mode print そして、州は はいこれは、ルーターが不審な変更の痕跡を検出したことを意味します。表示された場合は注意してください。 いいえ また、システムは既知のパターンしか検出しないため、100%クリーンであるという意味ではありませんが、「はい」ステータスは、 誰かがこっそり探っている.
緊急時対応計画：機器の修理と安全確保
即効性のある解決策は、RouterOSをアップデートすることです。お使いのブランチに応じて、バージョン6.49.21、7.23.4、7.23.5、または7.24.2にアップグレードしてください。ただし、ソフトウェアのアップデートは、すでに侵入されたドアに新しい鍵をかけるようなものだと注意してください。ハッカーが鍵のコピーを残している可能性があります。そのため、設定を監査し、見慣れないスクリプト、スケジューラでスケジュールされたタスク、または認識できないVPNトンネルがないかを確認することが非常に重要です。
このような事態の再発を防ぐための鉄則は、SSHをインターネットから完全に遮断することです。必要ない場合は無効にし、どうしても必要な場合は特定のIPアドレスまたは管理ネットワークに限定してください。WebFigについても同様です。HTTPを無効にし、HTTPSは管理者のみに使用してください。WireGuardでVPNを構築し、そのトンネル経由でのみルーターを管理し、すべての管理ポートを外部から遮断するのが最善策です。
高度な強化対策
セキュリティを徹底的に強化したい場合は、ファイアウォールでアドレスリストを使用することをお勧めします。セキュリティ保護対象のIPアドレスをリスト化した「MGMT-TRUSTED」というリストを作成し、ファイアウォールを設定して、管理ポートへの接続は当該グループからのみ受け入れ、WANインターフェース上の他のすべての接続をブロックします。IPv4の設定を怠り、IPv6の設定を誤って行ってしまうケースが多いので、 IPv6についても同様の対策を講じることを忘れないでください。
また、帯域幅テストサーバーを無効にし、管理インターフェース以外のインターフェースでMAC-TelnetとMAC-WinBoxをオフにしてレイヤー2アクセスを制限することを強くお勧めします。最後に、最もプロフェッショナルなアプローチは、ログを外部サーバー（Syslog）に一元管理することです。そうすることで、攻撃者がルーター上の痕跡を消去した場合でも、監視サーバー上で何が起こったかの記録が残ります。
ネットワークのセキュリティを維持するには、ファームウェアの即時アップデートと攻撃対象領域の大幅な縮小を組み合わせることが不可欠です。具体的には、インターネットに公開されている管理サービスをすべて排除し、運用ユーザーやフラグ付きステータスなどの侵害の兆候を監視する必要があります。真のセキュリティは単一のパッチに依存するものではなく、VPNのセグメンテーション、継続的な構成監査、IPv4とIPv6の両方に対する厳格なファイアウォールの使用を含む多層防御戦略に基づいています。