【ITニュース解説】Detecting Trust Abuse Around CVE-2026-67278 on RouterOS Devices

今回のニュース記事は、MikroTik社製のルーター向けオペレーティングシステムであるRouterOSのバージョン7.xに存在する、CVE-2026-67278というセキュリティ上の脆弱性について解説している。この脆弱性は、デジタル署名の検証プロセスに不具合があることが原因で発生する。具体的には、RouterOSがTLS/X.509証明書の検証や、セキュアなリモート接続に使われるRSA SSHホストキーの認証を行う際に、本来であれば受け入れるべきではない不正な署名を正当なものとして判断してしまうという問題だ。この不具合はCERT Polskaによって2026年9月5日に公表され、完全な修正はRouterOSのバージョン7.23.6と7.24.3で提供された。

この脆弱性の悪用メカニズムを理解するには、デジタル署名の仕組みと、認証局による証明書発行の連鎖を把握しておく必要がある。通常、デバイスは、通信相手のサーバーが信頼できるものであることを確認するためにデジタル証明書を使用する。この証明書には、その正当性を保証するためのデジタル署名が施されており、デバイスは信頼する認証局（CA）の公開鍵を使ってこの署名を検証する。しかし、脆弱性を持つRouterOSデバイスの場合、デバイスの内部に保管されているルートCA証明書が、公開鍵指数「e=3」という特定の非常に小さい値を使っていた。攻撃者はこの特殊な条件を悪用し、さらに、脆弱なRouterOSデバイスが外部ネットワークへのTLS接続を行う際に、その通信経路を制御または意図的にリダイレクトできる立場にある場合、この脆弱性を悪用することが可能となる。

攻撃者は、認証局の秘密鍵を実際に持っていなくても、この脆弱性を突くことで、信頼できる中間認証局の証明書を偽造することができる。そして、この偽造した中間認証局の証明書を使って、攻撃者は任意のホスト名を持つサーバーに対する不正な証明書を発行できてしまうのだ。結果として、脆弱なRouterOSデバイスは、攻撃者が作成した偽の証明書を正当なものと誤認し、本来接続すべきではない攻撃者側のサーバーに安全な通信であるかのように接続してしまう。同じ署名検証の不具合が、RSAベースのSSH認証の安全性も著しく低下させる。

この脆弱性の影響は、他の典型的な脆弱性のようにデバイスのクラッシュや明らかな攻撃の痕跡として現れるわけではない。むしろ、その兆候は「信頼の誤認」という形で表れる。例えば、RouterOSデバイスが行う外部への接続が、設定されたはずのない予期せぬエンドポイントに到達したり、本来であれば無効なはずの証明書チェーンが「有効」と判断されて通信が成立してしまったりする。また、管理用の自動化スクリプトが、設定リストにない不審なホストと通信を始めてしまうといった状況も考えられる。このような状況が放置されると、RouterOSの設定情報、ネットワーク内の重要な情報、さらには管理者認証情報などの機密データが、攻撃者の支配下にある外部のサーバーへと漏洩してしまう深刻なリスクがある。これは、ネットワーク全体のセキュリティを根本から危険にさらす可能性を秘めている。

この脆弱性の影響を受ける製品はMikroTik RouterOS 7.xシリーズである。具体的には、バージョン7.0.0から7.23.6より前のビルド、および7.24から7.24.3より前のビルドが影響を受ける。脆弱性が完全に修正されたビルドは、長期サポート版である7.23.6と、安定版である7.24.3である。特に注意が必要なのは、バージョン7.23.4と7.24.2がリリースされたが、これらは不完全な修正しか含まれていなかった点である。したがって、これらのバージョンを使用しているデバイスも、監視や資産管理の観点からは依然としてパッチ未適用の状態として認識し、早急に完全な修正版へのアップグレードが必要となる。

脆弱性の露出状況に関するデータも示されている。2026年9月23日のZoomEyeによる報告では、「os="RouterOS" && service="ssh"」という検索条件で9,559台のRouterOSデバイスがSSHサービスを公開していることが確認された。しかし、「vul.cve="CVE-2026-67278"」という検索条件では、脆弱性が確認されたデバイスの数は0件だった。この「0件」という数字は、脆弱なデバイスが存在しないことを意味するものではなく、一般的な脆弱性スキャンやデータベースではこの種の「信頼の誤認」を引き起こす脆弱性が直接検出されにくいという特性を示唆している。これは、RouterOSのSSHフィンガープリントの数と、実際に脆弱性を持つデバイスの数が異なる可能性を示しており、脆弱性の実態把握が難しいことを物語っている。

この脆弱性への対策と軽減策はいくつか挙げられる。最も確実な対策は、RouterOSデバイスを最新の修正済みバージョンである7.23.6または7.24.3に速やかにアップグレードすることだ。アップグレード後には、実際にデバイス上で動作しているバージョンが正しいことを必ず確認するべきである。次に、ネットワーク監視を強化し、各RouterOSデバイスが外部へ接続する宛先を定期的に確認し、基準となる「ベースライン」を設定することが重要である。このベースラインから外れる新たな接続先や変更されたエンドポイントが検出された場合は、即座にアラートを発し、詳細な調査を行う体制を整える必要がある。また、証明書の検証失敗に関するエラーメッセージは、破棄せずにログとして記録し、定期的にレビューすることも推奨される。これにより、不正な証明書が使われようとした試みを早期に発見できる可能性がある。さらに、ルーターの管理アクセスは、信頼できる特定のネットワークからのみ許可するように制限することで、万が一通信がリダイレクトされた場合でも、ルーターへの不正アクセスや認証情報漏洩のリスクを低減できる。最後に、RouterOS 7.23.4と7.24.2は不完全な修正しか含まれていないため、これらのバージョンを使用している場合は、引き続き「パッチ未適用」として扱い、完全な修正バージョンへのアップグレードを最優先で実施する必要がある。

このCVE-2026-67278は、一見すると地味なデジタル署名検証の不具合に見えるが、その影響はネットワーク通信の根幹を揺るがしかねない。ルーターのようなネットワークの中心となる機器が通信相手の正当性を誤認することは、通信の傍受、データの改ざん、重要な情報の漏洩といった重大なセキュリティインシデントに直結する。システムエンジニアを目指す皆さんは、このような基本的なセキュリティ技術の欠陥がどのように悪用され、どのような深刻な影響をもたらすのかを深く理解し、常に最新のセキュリティ情報に注意を払い、適切な対策を講じる意識を持つことが、安全な情報システムを構築・運用する上で不可欠となるだろう。