攻撃者がMikroTik製ルーターを認証なしでハイジャック

ネット上に公開されたSSHを悪用し、MikroTik製ルーターを認証なしでハイジャック

The Hacker News – Sep 06, 2026

ポーランドのコンピューター緊急対応チームCERT Polskaは5日、攻撃者がネット上でアクセス可能なSecure Shell（SSH）リモートアクセスサービスを備えたMikroTikルーターを悪用し、認証なしで完全な管理者権限を奪取していると警告した。これは、同CERTが特定・開示したMikroTik RouterOSの脆弱性6件（CVE-2026-67276、CVE-2026-67277他）のうち、2件を悪用した攻撃だという。

この攻撃は遅くとも9月2日に発生し、6日の時点では被害件数や攻撃者の正体に関する詳細は不明とのこと。MikroTikのセキュリティアップデート情報には、修正が適用されたRouterOSのリリースが記載されている。デフォルトファイアウォールについての説明によると、家庭用MikroTikデバイスではデフォルトのファイアウォールルールが維持されている限り、管理用ポートへの外部からのアクセスはブロックされるようだ。

影響を受けるバージョンは6.0.0～6.49.21未満、7.0.0～7.23.4未満、7.24～7.24.2未満とされ、アップデートには公式のRouterOSダウンロードファイルを使用することが推奨されている。また、7.23.5でのリグレッションは7.23.4で発生したIPv6 DHCP（Dynamic Host Configuration Protocol）の問題に対処しつつ、セキュリティアップデートの内容も維持していると説明された。

なお、CERT Polskaは報告された脆弱性2件の組み合わせを「MikroTrick」と呼んでいる。The Hacker Newsが5日の警告と6日の脆弱性開示を比較したところ、どちらも観測された攻撃チェーンを構成する2件の脆弱性が具体的にどれであるか、あるいはそれらがどのように組み合わさって管理者権限の奪取に至るのかについて明かしていない模様。ゼロデイ脆弱性だったかどうかも確認されていないそうだ。

GoogleがChromeアップデートを公開、悪用が確認されたV8エンジンのゼロデイを修正（CVE-2026-85046）

The Hacker News – Sep 04, 2026

Googleは3日、12件のセキュリティ欠陥を修正するアップデートを公開した。すでに攻撃での悪用が確認された脆弱性1件も含まれている。

その脆弱性はCVE-2026-85046（CVSSスコア：8.8）として追跡されているもので、ChromeのJavaScriptおよびWebAssemblyエンジンV8における「型混同」のバグとされる。CVE.orgの説明には「Google Chromeバージョン152.0.7977.82以前のV8における型混同の不具合により、リモートの攻撃者が細工されたHTMLページを介してサンドボックス内で任意のコードを実行できる」と記されている。

Googleは「CVE-2026-85046を悪用する攻撃コードが実際に存在すること」を認めたものの、多くのユーザーが修正済みバージョンに更新する時間を確保するとともに、脅威アクターによる悪用試行をさらに増やさないため、攻撃の性質や実行者に関する詳細を明らかにしていない。実際に悪用されたChromeのゼロデイに対処が施されたのは、CVE-2026-2441、CVE-2026-3909、CVE-2026-3910、CVE-2026-5281、CVE-2026-11645に続いて今年6件目となる。

米サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）は翌4日、CVE-2026-85046をKEV（悪用が確認済みの脆弱性）カタログに追加し、18日までに当該パッチを適用するよう連邦政府文民機関（FCEB）に命じた。