「機器の更新のお知らせが来たら、すぐに当てる」。ルーターやVPN機器の管理を任されている人にとって、これがいちばん確実な対策です。保守会社に依頼している場合も、頼んだ更新が終われば一段落と考えるのがふつうです。

ところが2026年9月、この順番が通用しない出来事がありました。MikroTik 社のルーター用ソフトウェア「RouterOS」で、修正版が配られる前日には、すでに攻撃が始まっていたことが報告されたのです。更新した時点で、その機器にはもう誰かが入ったあとだったかもしれません。

この記事では、ポーランドの公的なセキュリティ対応機関 CERT Polska とカナダ政府の Cyber Centre が公表した内容をもとに、更新のあとに何を確かめればよいのか、そして更新の知らせが来る前に何を決めておけるのかを整理します。MikroTik の機器を使っていない会社にも、そのまま当てはまる話です。

この記事でわかること

  • 修正版の公開と攻撃の開始が、どういう順番で起きたのか
  • 「更新した」と「入られていない」が別の確認である理由
  • 痕跡が見つからないことを、安全の証明にできない理由
  • ルーターの管理用の入口について、平時に決めておけること

何が起きたのか：日付で追う

CERT Polska が2026年9月22日に公開した分析記事と、9月5日の注意喚起から、出来事を日付順に並べます。

日付起きたこと
9月2日公開されている中で最も早い攻撃の記録。修正版はまだ無い
9月3日MikroTik が修正版（7.25beta3、7.24.2、7.23.4、6.49.21）を公開。詳細は伏せたまま更新を呼びかけ
9月4日修正前と修正後の違いを調べた解析記事が、第三者によって公開される
9月5日欠陥の要点が公開の場で特定される。CERT Polska が注意喚起を公開
9月10日米国 CISA が、悪用が確認された脆弱性の一覧に追加。対応期限は3日

狙われたのは、ルーターを遠隔から管理するための入口（SSH と呼ばれる接続方式）です。CERT Polska によると、2つの欠陥を組み合わせることで、パスワードも鍵も知らない相手が、認証を済ませないままルーターの全権限を取れる状態でした。攻撃を受けたのは、この管理用の入口がインターネットから届く状態になっていた機器です。

表の最初の2行が、この記事の出発点です。修正版が出たのは9月3日、最も早い攻撃の記録は9月2日。更新の知らせが届いた日には、攻撃はもう始まっていました。

更新は「これから」を防ぎ、「これまで」は調べない

修正版を当てると、同じ手口でこれから入られることは防げます。CERT Polska も、公開された修正版が観測された攻撃を防ぐことを確認したと述べています。

一方で、更新はすでに起きたことを元に戻しません。今回の攻撃では、侵入した相手がルーターの中に全権限のアカウントを新しく作っていました。更新しても、作られたアカウントや書き換えられた設定は、誰かが見つけて消すまで残ります。

そのため、公的機関の呼びかけは「更新」と「確認」の2つに分かれています。カナダの Cyber Centre は9月10日の注意喚起で、次の順番を示しました。

  1. 各機器で動いているソフトウェアのバージョンを確かめる
  2. 管理用の入口（SSH）をインターネットに出している機器から優先して更新する
  3. 認証の記録と通信の様子に、不正な接続の兆候がないかを見る
  4. 更新したあとに、更新後のバージョンで動いていることを確かめ、記録に異常がないかを見直す

4つのうち、更新そのものは1つだけです。残りの3つは、機器の状態と記録を人が見て確かめる作業です。保守会社に更新を頼んでいる場合、頼んだ範囲にこの確認が入っているかどうかで、結果が変わります。

「印が付いていない」は、安全の証明にならない

今回の修正版には、起動時に設定を調べ、侵入の痕跡として知られているものが見つかると警告の印を付ける仕組みが入りました。印が付けば、少なくとも疑うきっかけになります。

ただし CERT Polska は、この仕組みについてはっきり断っています。検出できるのは侵入後に残る痕跡の一部であり、印が無いことは機器が安全である証拠にはならない、という説明です。記録に残る特徴的な痕跡（存在しないはずの利用者名でのログイン失敗、見覚えのない管理者アカウントの追加）についても同じで、見つかれば調べる必要があるが、見つからなくても不正な操作が無かったとは言えない、とされています。

この考え方は、以前の記事で取り上げた認証バイパスの脆弱性と重なります。「異常が見つからなかった」と「異常が無かった」は別の結論です。確認の結果を社内に報告するときも、この2つを分けて書いておくと、あとで話が食い違いません。

印や痕跡が見つかった場合の手順も示されています。機器をネットワークから切り離し、初期化する前に記録と設定を保存する。そのうえで初期化し、信頼できる設定から作り直し、パスワードや鍵を取り替える。侵入された可能性のある機器から取った設定のバックアップを、そのまま戻さない。初期化を急ぐと、何が起きたのかを調べる材料が消えます（サイバー被害の初動対応）。

解析は数日で進み、更新は数日では終わらない

もう一つ、日付の表から読み取れることがあります。修正版の公開から、欠陥の中身が公開の場で突き止められるまでが、2日ほどだったことです。

修正版が配られると、修正前と修正後を比べることで、どこが直されたのかを誰でも調べられます。今回はその解析記事が公開の翌日に出ました。CERT Polska は、解析にAIの支援が使われていたことにも触れたうえで、こうまとめています。コードの解析にかかる手間は下がったが、更新を試して適用する時間と、すでに侵入されていないかを調べる時間は短くなっていない。

更新する側の事情も、同じ記事に書かれています。機器によっては、現地に行かないと更新できない。業務を止められる時間帯にしか作業できない。新しい版で不具合が出たという報告もあり、広く適用する前に試し、戻す手順を用意する必要があった。

どれも、拠点にルーターを置いている会社なら身に覚えのある事情です。つまり、修正版が出てから当て終わるまでの数日間は、手口が知られた状態で機器が動き続けることになります。この期間をゼロにはできません。できるのは、その数日間に機器が外から届かないようにしておくことです。

更新の知らせが来る前に決めておけること

今回、攻撃が成立した条件は「管理用の入口がインターネットから届くこと」でした。CERT Polska は、すぐに更新できない場合の当面の措置として、公開しているサービスを止めるか、信頼できる管理用のネットワーク以外からの接続を遮断することを挙げています。

この措置は、更新の知らせが来てから慌てて行うこともできますが、平時に済ませておくこともできます。遠隔から管理する必要があるかどうか、あるならどこから届けばよいのかは、脆弱性が見つかる前から決められるからです。

ルーターの管理用の入口についての確認項目保守会社に聞いてよい項目です
  • ルーターやVPN機器の管理画面・管理用の接続は、インターネット側から届くか
  • 届く場合、誰が、何のために使っているか（保守会社の遠隔作業、拠点の遠隔設定など）
  • 接続元を特定の場所だけに絞っているか、どこからでも届くか
  • 管理者アカウントの一覧があり、増えていないかを見比べられるか
  • 機器の記録をどのくらいの期間残しているか
  • 更新を頼むとき、更新後の確認（バージョン・アカウント・記録）まで頼んでいるか
  • 業務を止めずに更新できない機器がどれか分かっているか

上の2つに答えられない場合は、まずそこからです。使っていない入口が開いたままになっている例は、使っていないVPN用ポートが開いていた事例でも取り上げました。記録の保存期間についてはリモートアクセスのログ管理、保守会社との役割分担については委託先・協力会社のリモートアクセスで整理しています。

管理用の入口を、外から届かない場所へ移す

遠隔から機器や社内のパソコンを扱う必要そのものは、無くせないことが多いはずです。変えられるのは、その入口をインターネットに向けて直接開けておくかどうかです。

ForceLink は、管理画面をインターネット側に常時公開しない設計のリモートアクセスです。端末ごとの鍵で接続を管理し、許可した利用者が指定した社内のPC・サーバー・NASにだけ届くようにします。接続したあとに社内のネットワーク全体を開放しません（製品ページ）。

ただし、入口を移せば更新が要らなくなるわけではありません。どの製品も修正版の適用は必要です。また、ForceLink は現時点で多要素認証（MFA）に未対応です。MFAが必須の要件である場合は、要件に合う構成を別にご確認ください。

管理用の入口が外から届くか、把握できていますか？

現在の構成をお聞きして、インターネット側から届く入口をどこまで減らせるかを具体的にご提案します。料金と条件はサイト上で確認できます。

料金を確認する →方式を比較する →

まとめ

  • 今回の攻撃は、修正版が公開される前日には始まっていました。更新が早くても、それより前に入られていた可能性は残ります
  • 更新は今後の侵入を防ぎますが、作られたアカウントや変えられた設定は消しません。更新とは別に、確認の作業が要ります
  • 痕跡が見つからないことは、安全の証明になりません。報告では「見つからなかった」と「無かった」を分けます
  • 修正版が出てから当て終わるまでの数日間は無くせません。その間、管理用の入口が外から届かないようにしておくことは、平時に決められます

用語は用語集、接続の範囲の決め方はリモートアクセスの権限設計、細かい条件はFAQで確認できます。

参考・出典