認証なしでRouterOSの管理権限が奪取される実攻撃—SSH露出のMikroTik機器を狙う脆弱性連鎖が進行中です

今日の深掘りポイント

• すでに実攻撃が観測され、インターネットにSSHを開けているMikroTik RouterOSが狙い撃ちされています。未適用のままは危険です。
• 認証バイパスと権限エスカレーションの連鎖で、ログインなしに完全管理権限を奪取される形です。攻撃後は管理アカウントやスクリプトの埋め込みで持続化しやすいです。
• ルーター乗っ取りは、DDoSボット化・プロキシ網化・DNS/経路改ざん・横展開の踏み台化に直結します。境界防御の根幹がひっくり返るリスクです。
• ベンダー修正は提供済み。更新だけでなく、WAN側管理ポート閉鎖、ACL強化、未知アカウントやスケジューラの有無点検、バックアップの健全性確認まで“一式”で実施するべき局面です。
• メトリクスが示すとおり緊急性と実務での可動性が高い案件です。SOCは露出資産の棚卸しとパッチ適用のSLA短縮を同時進行で回すのが正解です。

はじめに

MikroTik RouterOSの重大な脆弱性連鎖が、インターネットに公開されたSSHに対して既に悪用されています。CERT Polskaが現実の攻撃を観測し、認証なしの管理権限奪取が可能になると報じられています。MikroTikは修正を出しており、対応のボールは運用側に完全に渡っている状態です。世界中の中小企業やISPに浸透したプラットフォームだけに、侵害の影響はローカルネットワークの一組織内にとどまらず、DDoS・プロキシ・情報操作といった“外への影響”にも波及し得ます。いま求められるのは、パッチ適用だけではなく、管理面の露出制御と侵害有無の確認をセットでやり切る運用力です。

深掘り詳細

事実（確認されていること）

• CERT Polskaは、インターネットからSSHアクセスが可能なMikroTik RouterOSデバイスを狙った実攻撃を確認し、2つの重大な脆弱性の連鎖で認証なしに管理権限を奪取できると警告しています。MikroTikは修正をリリース済みで、即時更新が推奨されています。攻撃者はトラフィック制御の変更、悪意の管理アカウント作成などが可能になります、という報告です。
• 公開情報によれば、攻撃の起点はSSHサービスの悪用で、通常の認証プロセスを経ずに特権セッションを得られる点が中核になっています。被害機器は、設定改ざん、スクリプトやスケジューラの投入、NAT/フィルタルールの変更などを受けるおそれがあります。
• 参考情報（セカンダリ報道）: GBHackersのまとめ は、CERT Polskaの観測とMikroTikの修正リリースに言及しています。

注記: 本稿は上記公開情報に基づきます。一次資料（CERT Polskaの技術詳細やMikroTikの公式アドバイザリ／変更履歴）にあたることを強く推奨しますが、本紙執筆時点で追加の一次情報へ直接アクセスできていないため、固有のCVE IDやバージョン番号などは敢えて記載しない方針です。

インサイト（読み解きと運用への示唆）

• 管理プレーン露出が「脆弱性の有無」を一瞬で「侵害の有無」に反転させます。ルーターは認証バイパス一発でネットワーク全体の信頼境界に穴が空きます。SSHやWinbox、APIのWAN露出を“当たり前に禁止”する組織文化が、結局いちばんの耐性になります。
• ルーター侵害は検知が難しいです。OSが軽量でログ保持が薄く、攻撃者がスクリプトやスケジューラで設定を即時に復元・隠蔽できるためです。したがって「更新したから安心」ではなく、「未知アカウント・スクリプト・NAT/フィルタ差分・外向きC2通信」を点検するディシプリンが必須です。
• 脆弱性連鎖がSSHを介した“ノーログイン侵入”を許す場合、認証失敗ログは残らず、成功ログだけが冷たく積み上がることがあります。SOCは「成功ログの異常（時間帯・元AS・国・連続性）」に注目したユースケースを急造した方がよいです。
• DDoS/プロキシ網化の地政学的リスクは軽視できません。単体被害だけでなく、踏み台化して他者への加害リスク、さらには検知回避のための多段プロキシとして悪用されることが実務上の痛点になります。ISP・MSPは自社アドレスブロック内の露出と挙動監視を“自分のため”だけでなく“社会のため”に即時強化すべきです。

脅威シナリオと影響

以下はMITRE ATT&CKに沿った仮説シナリオです。攻撃詳細は環境により異なるため、あくまで検討の起点として使ってください。

• シナリオ1: 認証バイパス経由の完全奪取と持続化

  • 初期アクセス: Exploit Public-Facing Application（T1190相当）
  • 権限確立: Exploitation for Privilege Escalation（T1068相当）
  • 持続化: Create Account（T1136）、Scheduled Task/Job（T1053）、Command and Scripting Interpreter（T1059）
  • 防御回避: Impair Defenses（T1562）、Masquerading（T1036）
  • 影響: ルーター設定の恒久改変、アップグレード後の再侵入

• シナリオ2: 交通整理の乗っ取り（プロキシ化・トラフィック改変）

  • 設定操作: Modify System Configuration（T1611相当）、Ingress/Egress Traffic Filtering改変
  • 中間者化/改ざん: Adversary-in-the-Middle（T1557）、Transmitted Data Manipulation（T1565.002）、Network Sniffing（T1040）
  • C2/隠れ蓑: Proxy（T1090）
  • 影響: 資格情報の窃取、フィルタバイパス、組織外への攻撃中継

• シナリオ3: DDoSボット化と外部加害

  • 準備: Ingress Tool Transfer（T1105）、Resource Hijacking（T1496）
  • 実行: Network Denial of Service（T1498）
  • 影響: 事業継続性への打撃、外部からの法的・契約的リスク

• シナリオ4: 横展開の踏み台

  • 発見: Network Service Scanning（T1046）
  • 横移動: Exploitation of Remote Services（T1210）、Valid Accounts（T1078）
  • 影響: サーバ・OT機器への連鎖侵害、境界の意味消失

組織影響としては、ネットワークの信頼性・完全性・可用性の三拍子が同時に揺らぎます。とりわけ分岐装置・境界ルーターの改ざんは、EDRの可視域外で進行しやすく、検知・復旧の遅延コストが嵩む点が厄介です。

セキュリティ担当者のアクション

“今すぐできること”から“再発防止”までを優先度付きで整理します。

• 0. 影響資産の即時棚卸し
  • 自社AS/外縁のスキャンで、インターネットから22/TCP, 23/TCP, 80/443, 8291（Winbox）, 8728/8729（API）など管理系ポートが露出したMikroTikを洗い出します。
  • ISP/MSPは顧客委託運用中のCPEも含めたインベントリの再点検を行います。
• 1. パッチ適用（最優先）
  • RouterOSの最新安定系（ベンダー推奨チャネル）へ即時更新します。
  • OSパッケージ更新後、RouterBOARDファームウェア（ブートローダ）も更新・再起動します。
  • HA/二重化・多拠点はロールリングで停止影響を最小化しつつ、同日中の完了を目標にします。
• 2. 管理プレーンの露出遮断と強化
  • “WAN→ルーター本体”のINPUTはデフォルト拒否、管理は管理ネット/ジャンプホスト/IPsec越しのみに限定します。
  • /ip services相当の設定で、SSH/Winbox/API/WWW/Telnetの無効化または許可元IP制限を徹底します。
  • SNMPは読み取り専用＋コミュニティ/ユーザの強固化、可能ならv3限定にします。
• 3. 侵害有無のトリアージ（更新前後で必ず）
  • 未知ユーザーや権限過大ユーザーの有無（例: /system user print）。
  • スケジューラ/スクリプト/Netwatch/PPPフックの不審エントリ（/system scheduler, /system script, /tool netwatch, /ppp profile）。
  • 直近で追加されたNAT/フィルタ/ルート/アドレスリストの差分。
  • /file配下の不可解ファイル（外部からfetchした実行片）や設定バックアップの改ざん。
  • ログの外部送信設定（syslog先）を確認し、監査ログを一時的に詳細化します。
• 4. 資格情報・鍵マテリアルの総入れ替え
  • すべてのローカル管理アカウントのパスワード変更、既定“admin”の無効化/削除。
  • SSH公開鍵認証を用いる場合は鍵の再発行・入れ替え、不要鍵の削除。
  • RADIUS連携の場合は共有シークレット変更、認証サーバ側のポリシー見直し。
• 5. ネットワーク観測の即応ユースケース
  • ルーターから外部への恒常的なアウトバウンド通信（未知AS/国、22/443以外の高頻度接続）の検知。
  • DNSの上書きや透過プロキシ化を示すフローの異常（特定ホストへの急増、HTTP CONNECTの多発）。
  • 成功したSSH/Winboxログインの時刻・元IPの異常（“失敗”ではなく“成功”の異常値に注目）。
• 6. 侵害疑い時のレスポンス
  • 即時にWAN側の管理サービスを遮断、オフライン保全として設定のテキストエクスポートを採取。
  • ルーターの“クリーン再構築”（ベンダーのNetinstall等で初期化）を検討し、既知健全なテンプレートから再プロビジョニングします。未知バックアップのリストアは避けます。
  • 法執行・CSIRT連携のために、NTP整合のとれたログ・フロー・構成差分・外向き通信先一覧を保存します。
• 7. 再発防止の運用整備
  • 露出資産スキャンの定期化（自社外からの視点での継続監視）。
  • ルーター設定のIaC化（ゴールデンイメージ）と、差分検知の自動化。
  • パッチSLA（境界装置は“Criticalは即日”）の見直し、緊急メンテの手順訓練。
  • 監査ログのリモート保管（syslog/TLS）と保存期間の延伸。

最後に、今回の案件は「すでに悪用が始まっており」「管理プレーン直撃」「修正は提供済み」という、現場にとっては対応の優先度が自明な類型です。パッチ適用で終わらせず、露出遮断と侵害確認、そしてクリーンな再構築までをワンセットにすることで、はじめて“次の週末も安心”に近づけます。小さなルーター一台の健全性が、思いのほか大きなレジリエンスを支えるのだと、あらためて肝に銘じたいところです。

参考情報

• CERT観測とベンダー修正に関する速報的まとめ（セカンダリ）: GBHackers – MikroTik Vulnerabilities Exploited; Unauthenticated Takeover via SSH