米CISA、MikroTik「RouterOS」の脆弱性悪用で注意喚起

米当局は、MikroTikのルータ向けOS「RouterOS」に判明した2件の脆弱性が実際の攻撃で悪用されているとして注意を呼びかけた。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年9月10日、「悪用が確認された脆弱性カタログ（KEV）」へ2件の脆弱性「CVE-2026-67277」「CVE-2026-86060」を追加したもの。

「CVE-2026-86060」は、コマンドの引数区切り文字を適切に無害化できない脆弱性。脆弱性を悪用するには、「SSHセッション」でログインヘルパーにアクセスする必要があるが、信頼された「RouterOS」のポリシーマスクを変更され、権限昇格につながる可能性がある。

一方「CVE-2026-67277」は、「RouterOS」の重要な機能において認証が欠如している脆弱性。認証が完了する前に接続を受け入れ、さらにカーネルメモリの情報が漏洩したり、サービス拒否（DoS）が生じるおそれがある。

同庁は、米行政機関に対し、3日後の9月13日までに対応するよう要請。とくに「CVE-2026-86060」については侵害を受けていないか調査するよう求めている。

また脆弱性は広く悪用されるおそれもあり、関連製品の利用組織においても注意が必要となる。

（Security NEXT - 2026/09/11 ）ツイート