MikroTrick PoC — CVE-2026-86060 (RouterOS 未認証での完全乗っ取り)

poc_mikrotrick.py は、CERT Polska が 2026-09-05 に 「MikroTrick」 として公表した SSH 攻撃チェーン用の自己完結型エクスプロイトであり、少なくとも 2026-09-02 以降、インターネットに公開された MikroTik RouterOS デバイスに対して実際に悪用されています。 1 回の実行で、未認証の SSH 接続が完全な管理者コンソールに変わります。認証情報もユーザー操作も不要です。

3 つの CVE

さらに、名前のない状態バグが必要です。拒否されたログインは、サーバーのセッション状態にユーザー名を保留のまま残します。以下の手順 1 でエクスプロイトはこれに依存しています。MikroTik のパッチ (2026-09-03) はチェーン全体を塞ぎます。

エクスプロイトの仕組み

1. 保留中のユーザー名。 クライアントはユーザー名 -2 としてパスワード認証を試みます。サーバーはこれを拒否しますが、セッション状態に保留のまま残します。これがキャンペーンの最初の IoC です: login failure for user -2。
2. 認証前 rekey (CVE-2026-67279)。 認証完了前の鍵再交換により、サーバーは認証ゲートを解除します。
3. チャネルオープン + PTY。 認証なしでセッションチャネルが開かれ、対話型シェルが保留中の -2 を伴ってログインヘルパーを起動します。
4. ポリシーマスクのすり替え (CVE-2026-86060)。 ログインヘルパーはファイルディスクリプタ 2 から最大 4096 バイトを読み取り、NUL で分割して置換用のアイデンティティとポリシーマスクにします。エクスプロイトはオール 1 のマスクを送信し、RouterOS はそれを完全なポリシーセットにクランプします。セッションは完全な管理者として立ち上がり、以降の操作は ssh:-2@<ip> としてログに記録されます。これがキャンペーンのフィンガープリントです。

エクスプロイトは完全な権限を持つテストアカウント (hacker / hacker) を作成し、ログインコマンドを表示して終了します。(悪用されたコンソール自体は不安定です — 後続の rekey が認証ゲートを再び有効にし、チャネルが切断されます — そのため、通常の SSH ログインが持続的な経路です。)

使用方法

python3 poc_mikrotrick.py <host>                  # hacker アカウントを作成し、ssh ログインを表示
python3 poc_mikrotrick.py <host> "<ros command>"  # 1 つのコマンドを実行して終了

要件: python3-paramiko。このスクリプトはラボ用クライアントであり、プライベート IP 以外のターゲットを拒否します。

影響を受けるバージョンと修正済みバージョン

• 脆弱: RouterOS [7.24, 7.24.2), [7.0.0, 7.23.4), [6.0.0, 6.49.21)
• 修正済み: 7.25beta3, 7.24.2, 7.23.4, 6.49.21
• 検証済み: CHR 7.23.3 (悪用可能) 対 CHR 7.23.4 (エクスプロイトが正しく失敗)。 繰り返し実行しても結果は決定的。

検出

• ログ行 login failure for user -2 via ssh
• ログ行 user <name> added by ssh:-2@<ip>
• 未知の高権限アカウント ops
• /system/device-mode/print に「Flagged」マーカーが表示される (その不在は何も証明しない)

これらのいずれかがデバイス上に現れた場合、侵害されたものとして扱ってください: 隔離し、パッチを適用し、すべてのユーザー、スクリプト、スケジューラタスク、トンネルを確認してください。

参考資料

• CERT Polska の公表
• MikroTik セキュリティ速報 (2026-09-03)
• CISA Known Exploited Vulnerabilities: CVE-2026-86060, CVE-2026-67277 (2026-09-10 追加)

法的注意

これは、あなたが所有するか、テストを明示的に許可されている RouterOS インスタンスに対してのみ実行してください。あなたが所有していないデバイスへの攻撃は犯罪です。