CERT Polskaが発見・公表したMikroTik RouterOSの脆弱性6件のうち、SSH公開鍵認証のバイパス(CVE-2026-67276)と細工したユーザー名による権限昇格(CVE-2026-86060)を組み合わせた攻撃チェーン「MikroTrick」は、2026年9月2日以降に実際の攻撃で使われています。MikroTikのアドバイザリ、CERT Polska、NVD、CISA KEVの一次情報をもとに、影響バージョン、RSA指数を1にする認証バイパスの仕組み、侵害痕跡(ops ユーザー、ログ文字列)、Flagged状態の確認、6.49.21/7.23.4/7.24.2への更新と暫定策を整理します。
リモートサーバー運用の土台である SSH プロトコルを、一次ソースの RFC 4251/4252/4253/4254（SSH-2 の Architecture / Authentication / Transport / Connection）を軸に整理します。TCP 接続からバージョン交換、KEXINIT による鍵交換と Diffie-Hellman、ホスト鍵の検証（known_hosts と TOFU の弱点）、公開鍵認証（authorized_keys と署名）、チャネルの多重化とポートフォワーディング（ssh -L / -R / -D）まで、その仕組みと OpenSSH での確認方法をインフラ担当者・開発者向けにまとめます。
コマンドラインの高機能ファイル転送クライアント lftp で SFTP サーバーに接続する方法を、基本の sftp:// URL、パスワード/公開鍵認証、ポート番号や踏み台の指定、ホスト鍵の確認、mirror での一括ダウンロード/アップロード、リトライやタイムアウトの設定、bash スクリプトでの自動化まで実例つきで解説します。lftp の SFTP は内部で ssh を呼ぶ（sftp:connect-program）ため、ssh の設定や鍵がそのまま効くのがポイントです。
2026年7月6日にリリースされた OpenSSH 10.4 を一次情報で整理します。悪意あるサーバによる sftp ダウンロード先のすり替え、scp のリモート間コピーでの親ディレクトリ書き込み、鍵再交換時のクライアント側 use-after-free など複数のセキュリティ修正の中身に加え、ML-DSA 44 と Ed25519 を組み合わせた実験的なポスト量子署名の追加、そして mlkem768x25519 デフォルト化・DSA 削除といった量子耐性への流れまで、実務での確認ポイントとともにまとめます。