# RouterOSのSSH脆弱性、攻撃を確認

> CERT PolskaはRouterOSの脆弱性を組み合わせた攻撃による公開機器の乗っ取りを確認し、更新後の侵害調査も求めている。

_Source: CERT Polska disclosure, MikroTik advisory, CVE record, and Qianxin CERT summary · 2026-09-08 · 7 min read · Verified against primary sources_

Canonical: https://iyu.app/ja/e/routeros-ssh-cve-2026-67276

## 60秒でわかる

CVE-2026-67276は影響を受けるRouterOS 7で登録済みRSA鍵ユーザーへのなりすましを可能にし、実際に悪用された乗っ取りチェーンの一部です。

**要点**

- RouterOSはRSA鍵の種類とモジュラスだけを比較し、指数を省略したうえ、検証にクライアント提供の鍵パラメータを使いました。
- CVE記録上の修正版は7.23.4 Long-termと7.24.2 Stableで、6.49.21はより広い6件の脆弱性公表に対応します。
- 実際の完全な乗っ取りは2件の脆弱性によるMikroTrickチェーンであり、対応はパッチ適用だけでは不十分です。
- Flagged状態や既知の痕跡は調査に役立ちますが、それらがないことは安全の証明になりません。

**結論.** 直ちに更新し、管理面を制限し、証拠を保全して設定を調査し、侵害が疑われる場合は再構築と秘密情報の交換を実施します。

## 本文

> **⚑ Caveat:** 確認済みの完全な乗っ取りは、MikroTrickと呼ばれる2件の脆弱性の連鎖です。CVE-2026-67276はSSH鍵ユーザーへのなりすましを担う部分であり、すべての攻撃をこのCVE単独の結果とするのは一次情報を超えます。


### 緊急対応 — まず更新し、その後に調査する

CERT Polskaは、SSHサービスを公衆ネットワークから利用できるRouterOS機器に対し、攻撃者が脆弱性を組み合わせて悪用していると発表しました。MikroTikは修正版を公開し、直ちに更新するよう勧告しています。

- **9.2** — CVE-2026-67276のCVSS 4.0基本値
- **9月2日** — CERT Polskaが報告した最も早い確認済み攻撃活動
- **2件** — 確認済みMikroTrick乗っ取りチェーンの脆弱性数

更新は最初の手順にすぎません。機器には未承認のユーザー、スクリプト、スケジュール、プロキシ、トンネルが残っている可能性があります。修正後も証拠を保全し、設定を調査する必要があります。


### 仕組み — 不完全なRSA照合がSSHを破る理由

RSA公開鍵はモジュラスと指数で構成されます。影響を受けるRouterOSは、接続側の鍵と登録済み鍵を照合する際、鍵の種類とモジュラスを確認しましたが、指数を確認しませんでした。

さらに署名検証ではクライアントが提示した鍵パラメータを使用しました。有効なユーザー名と登録済みRSAモジュラスを知る攻撃者は、指数を1にした別の鍵を送り、秘密鍵なしで対象ユーザー権限のSSHコマンドチャネルを開けました。

> 公開鍵はモジュラスだけではありません。一つのパラメータを無視したことで、別の鍵が登録済み鍵として扱われました。


### 影響範囲 — バージョン境界を正確に読む

- **RouterOS 7 Long-term:** CVE-2026-67276は7.23.4で修正。CVE記録は7.9以降で、この修正ブランチ未満を影響対象としています。
- **RouterOS 7 Stable:** CVE-2026-67276は7.24.2で修正。7.24以降、7.24.2未満が影響対象です。
- **RouterOS 7 Beta:** MikroTikの9月の総合セキュリティ告知は7.25 beta 3を修正版として掲載しています。
- **RouterOS 6 Long-term:** 6件全体の告知では6.49.21が掲載されていますが、CVE-2026-67276の記録はこの問題をRouterOS 7に限定しています。

> **i** 奇安信が示した世界約273万件の関連資産と約203万件のIPは、資産検索による関連数であり、悪用済みまたは脆弱性確認済みの機器数ではありません。公開状態、設定、ブランチ、パッチレベルを個別に確認する必要があります。


### 侵害の証拠 — 防御側が確認すべき項目

CERT Polskaは、観測した攻撃で**ops**という高権限アカウントと、SSH経由のユーザー作成に関係する特徴的なログを報告しています。修正版は一部の不審な設定変更を検査し、RouterOSを**Flagged**状態にする場合があります。

> **⚑ Caveat:** Flaggedは手掛かりであって安全証明ではありません。表示がなくても過去の侵害は否定できず、表示があっても利用された脆弱性を単独では特定できません。


### インシデント対応 — 実行可能な修復手順

- **1.** 機器が利用するサポートチャネルの最新修正版へ更新します。
- **2.** 更新完了まで、SSH、WebFig、bandwidth-testへの接続を信頼済み管理ネットワークまたはVPNに限定します。
- **3.** ログとFlagged値を確認し、未知のユーザー、スクリプト、スケジュール、プロキシ、トンネルを調査します。
- **4.** 侵害が疑われる場合は機器を隔離し、リセット前にログと設定を保全します。
- **5.** 工場出荷状態から信頼できる設定で再構築し、パスワード、鍵、その他の秘密を交換します。疑わしい完全バックアップをそのまま戻してはいけません。

実務上の結論は明確です。既知の経路を直ちに閉じる一方、過去に公開されていた機器は、調査が否定するまで潜在的な侵害として扱います。


## Primary sources

- [Security Insider / Qianxin CERT summary](https://www.secrss.com/articles/93747)
- [CERT Polska active-exploitation advisory](https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/)
- [CERT Polska vulnerability record](https://cert.pl/en/posts/2026/09/mikrotik-routeros-cve)
- [MikroTik September 2026 security bulletin](https://mikrotik.com/supportsec/september-2026-vulnerability/)
- [CVE-2026-67276 record](https://www.cve.org/CVERecord?id=CVE-2026-67276)

---
_Published by iyu (https://iyu.app) — the day's AI news, checked against primary sources and rewritten in plain language. Free to quote with attribution and a link to the canonical URL._