検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

MikroTik RouterOS に認証不要の権限昇格（CVE-2026-86060）とメモリ漏えい（CVE-2026-67277）: 2 件とも CISA KEV に追加済み

World Security 編集部
AI 支援あり
目次（7）

CVE-2026-86060

CVE-2026-67277

MikroTik RouterOS に、ネットワーク越しに認証なしで突ける脆弱性が 2 件あり、どちらも CISA が 2026-09-10 に KEV（悪用が確認された脆弱性）へ追加しました。CVE-2026-86060 は SSH のログイン処理の欠陥で、認証前の SSH 接続から権限の設定（ポリシーマスク）を書き換えられ、権限昇格につながります（CVSS v3.1 9.8、v4.0 9.2）。CVE-2026-67277 は帯域テスト機能（btest）の欠陥で、カーネルメモリの一部の漏えいと、ルーターの再起動（サービス停止）を起こせます（CVSS v3.1 8.2）。修正版は 6.49.21、7.23.4、7.24.2 です。

概要

項目CVE-2026-86060CVE-2026-67277
問題SSH ログイン処理での引数区切りの不適切な処理（CWE-88）。権限昇格btest で認証完了前の接続を受け付ける（CWE-306）。メモリ漏えいと再起動
攻撃条件ネットワーク経由、認証不要（SSH セッションが届くこと）ネットワーク経由、認証不要
CVSS v3.1（NVD）9.8（AV:N/AC:L/PR:N/UI:N、C/I/A すべて High）8.2（AV:N/AC:L/PR:N/UI:N、C:L/I:N/A:H）
CVSS v4.0（CERT.PL）9.28.8
EPSS0.0639（パーセンタイル 0.937）0.0156（パーセンタイル 0.752）
KEV2026-09-10 追加、期限 09-132026-09-10 追加、期限 09-13

何が起きるか

  • CVE-2026-86060: ユーザー名の先頭に禁止された文字を付けた SSH ログインで、ログイン補助処理が引数として解釈し、信頼されたポリシーマスクを変更できます。結果として権限が引き上げられます。CISA の KEV 情報では、フォレンジック（侵害調査）の確認対象とされています。
  • CVE-2026-67277: 親となる btest 接続の認証が終わる前に「関連」接続を受け付けてしまい、認証なしで IPv4 の UDP テストを始められます。random-data=false のとき、カーネルのパケットバッファの未初期化部分がそのまま送られます。さらに、パケットサイズの範囲の検査が逆になっており、整数のアンダーフローで大きな出力が生まれ、RouterOS のカーネルが再起動することがあります。

影響を受ける版と修正版

系統修正版
6.x Long-term6.49.21
7.x Long-term7.23.4
7.x Stable7.24.2

修正版より前の RouterOS が対象です（NVD の記載）。

読むときの注意

  • SSH や btest をインターネットや信頼できない側のネットワークに公開している RouterOS は、特に優先して確認してください。管理用の SSH を WAN 側に出している機器は典型的な例です。
  • KEV への追加は、実際に悪用された情報があることを意味します。誰がどの規模で、どの手口と組み合わせて悪用したかは、公開情報では分かりません。ランサムウェアでの利用は KEV 上「不明」です。
  • 2 件は別の問題です。EPSS の差が示すように、現時点で悪用の可能性が高いとされるのは CVE-2026-86060 のほうです。

対策

  • RouterOS を修正版（6.49.21、7.23.4、7.24.2 以降）へ更新する。手順は MikroTik の 2026 年 9 月の脆弱性情報で確認する。
  • すぐに更新できない場合は、SSH と btest を管理用ネットワークや許可した送信元だけに制限する（ファイアウォールで WAN 側からの SSH・btest を閉じる）。使わない btest は無効にする。
  • 更新前の期間に、不審なユーザー作成・権限の変更・設定の書き換え・予期しない再起動がないか点検する。CISA は CVE-2026-86060 についてフォレンジックの確認を求めています。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態2 件とも Analyzed（2026-09-05 公開）
CWECVE-2026-86060: CWE-88、CVE-2026-67277: CWE-306
EPSS上の表（2026-11-02 時点）
KEV2 件とも 2026-09-10 追加、期限 2026-09-13。ランサム利用は不明
出典NVD、MikroTik 脆弱性情報（2026 年 9 月）、CISA KEV、FIRST

未確認の点

  • 実際の悪用の規模・攻撃者・標的、2 件が組み合わせて使われたかどうか。
  • MikroTik の勧告本文の詳細（影響を受ける版の下限、btest・SSH の既定の公開状況）。
  • 公開されている機器の台数（インターネット上の露出数）。

この記事について

AI の利用
本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-03）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事