CISA KEV 警告 26/09/10：MikroTik RouterOS の脆弱性 CVE-2026-67277／86060 を登録

CISA Adds Exploited MikroTik RouterOS Flaws to Security Alert

2026/09/11 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、9月10日に実環境で積極的に悪用されている MikroTik RouterOS の 2 件の脆弱性 CVE-2026-67277／CVE-2026-86060 を Known Exploited Vulnerabilities (KEV) カタログに追加した。連邦政府機関には 9月13日までにベンダーが推奨する緩和策を実施することが求められている。

MikroTik RouterOS の脆弱性

脆弱性 CVE-2026-67277 (CWE-306) は、MikroTik RouterOS の帯域幅テストサービス (btest) に存在する認証欠如の欠陥である。この脆弱性を悪用する攻撃者は、カーネルメモリの漏洩やサービス拒否 (DoS) を引き起こす可能性がある。漏洩したカーネルメモリから機密情報が取得されると、その後の攻撃段階でセキュリティ対策の回避に悪用される恐れがある。

2 件目の脆弱性 CVE-2026-86060 (CWE-88) は、コマンドにおける引数デリミタの不適切なサニタイズに起因する欠陥である。KEV のエントリによると、この脆弱性を悪用する攻撃者は、信頼済みの RouterOS ポリシーマスクを操作して権限昇格を行う可能性がある。ネットワークルーターで昇格した権限を取得した攻撃者は、ルーティングルールの変更／永続化／トラフィックの傍受に加えて、さらなる内部攻撃に向けた足掛かりとしてデバイスを悪用する可能性がある。

CISA は Binding Operational Directive 26-04 に基づき、CVE-2026-86060 をフォレンジック・トリアージが必要な脆弱性として指定しており、これは、緩和策の適用に加え、影響を受ける組織が侵害の痕跡を調査する必要があることを示している。CISA は、これらの脆弱性とランサムウェアとの関連性を指摘していないが、どちらも実環境で積極的に悪用されているため、迅速な評価と修正が不可欠である。

Federal Civilian Executive Branch (FCEB) 機関は、KEV で定められた修正期限を遵守する必要がある。CISA はそれとは別に、MikroTik RouterOS デバイスを運用する民間組織に対して、これらの脆弱性への対応を優先するよう強く求めている。

管理者に求められるのは、インターネットへ公開された RouterOS システムの特定や、修正済みリリースまたは緩和策に関するベンダー・アドバイザリの確認、管理機能および btest サービスへのアクセス制限、不正な活動の痕跡を確認するためのデバイスログおよび設定変更履歴の調査である。

わずか 3 日間という短い修正期限の指定は、脆弱な RouterOS の導入環境が直ちに運用上のリスクとなるという CISA の評価を示している。効果的な緩和策を実施できない組織は、安全な構成を適用するか、更新済みのソフトウェア・バージョンを利用できるようになるまで、影響を受けるデバイスの外部公開の停止を検討する必要がある。

紹介する記事は、CISA KEV カタログに登録された MikroTik RouterOS の脆弱性 CVE-2026-67277／CVE-2026-86060 を取り上げています。実環境で積極的に悪用されている背景があり、カーネルメモリの漏洩や権限昇格を通じてシステムへ深刻な影響を及ぼす危険性が指摘されています。FCEB 機関をはじめとする組織への影響やフォレンジック・トリアージの重要性についても詳しく触れられています。規定された短い修正期限内に対応する必要があるため、インターネットへ公開されたシステムの特定／修正済みリリースやベンダー・アドバイザリの確認／アクセス制限の実施／侵害の痕跡を確認するためのデバイスログの調査などの対応が求められます。