폴란드 컴퓨터침해사고대응팀(CERT Polska)이 2026년 9월 5일, MikroTik 라우터의 SSH(원격 접속 서비스)가 인터넷에 노출된 경우 인증 없이 관리자 권한을 탈취당할 수 있다는 경보를 발령했습니다. 실제 공격은 최소 9월 2일부터 시작된 것으로 확인됐습니다. MikroTik은 RouterOS 6.49.21, 7.23.4(또는 7.23.5), 7.24.2 버전에서 패치를 제공하며 즉시 업데이트가 필요합니다. 당장 업데이트가 어려운 경우에는 외부에서 SSH, WWW/WWW-SSL 등 관리 포트에 접근하지 못하도록 차단해야 합니다. CERT는 이 2가지 취약점 조합을 'MikroTrick'이라고 부르며, 침해 여부 확인과 복구 절차도 안내하고 있습니다.
MikroTik 라우터의 SSH 서비스가 인터넷에 노출된 기기에서 인증 없이 관리자 권한을 획득할 수 있는 취약점 2개가 연계 악용되고 있다. CERT Polska는 이 조합을 'MikroTrick'으로 명명했으며, 실제 공격은 2026년 9월 2일부터 확인됐다.
공격자가 인증 없이 라우터 전체 관리 권한을 얻을 수 있으며, 무단 계정 생성·설정 변경·내부 네트워크 침투 등이 가능하다. 기본 방화벽 규칙이 유지된 가정용 기기는 직접 노출 범위에서 제외된다.
RouterOS의 특정 버전에 존재하는 2개의 취약점이 체인으로 연결되어 원격 인증 우회 및 관리자 권한 상승이 가능하다. 구체적인 취약점 번호와 조합 방식은 CERT 공개 문서에 명시되지 않았다.
MikroTik은 RouterOS 6.49.21, 7.23.4/7.23.5, 7.24.2, 7.25beta3 버전에서 패치를 제공했다. CERT는 즉시 업데이트, 외부 노출 관리 포트(SSH·WWW/WWW-SSL·bandwidth-test) 차단, 패치 전 TLS·SSH 클라이언트 사용 금지, 업데이트 후 로그·계정·스크립트 점검을 권고했다.
업데이트 후 /system/device-mode/print 명령으로 Flagged 상태를 확인하고, 알 수 없는 계정(특히 'ops')·스크립트·설정 변경 여부를 점검해야 한다. 로그에서 ssh:-2@ 패턴이 보이면 침해 의심 신호다. 침해가 의심될 경우 증거 보존 → 공장 초기화 → 신뢰할 수 있는 설정으로 재구성 → 자격증명 전체 교체 순서로 복구한다.
본문
Swati Khandelwal 2026년 9월 6일 | 취약점 / 네트워크 보안
CERT Polska가 9월 5일 발표한 공격 경보에 따르면, 공격자들이 인터넷에서 접근 가능한 SSH(Secure Shell, 원격 접속 서비스) 포트를 통해 인증 없이 MikroTik 라우터의 완전한 관리자 권한을 획득하고 있다.
실제 공격은 최소 9월 2일부터 시작된 것으로 확인됐다. The Hacker News가 9월 6일 해당 경보를 검토한 결과, 피해자 수나 공격자 신원은 확인되지 않았다.
MikroTik의 보안 업데이트 목록에는 패치가 적용된 RouterOS 버전이 명시되어 있다. CERT는 해당 패치가 관측된 공격을 차단하며, 즉시 설치 후 무단 설정 변경 여부를 점검할 것을 권고했다.
MikroTik의 기본 방화벽 설명에 따르면, 기본 방화벽 규칙이 유지된 가정용 MikroTik 기기는 관리 포트에 대한 외부 접근이 차단된다.
The Hacker News는 9월 6일 CERT의 영향 받는 RouterOS 버전을 MikroTik의 공식 패치 목록과 대조했다. 업데이트 시 공식 RouterOS 다운로드 경로를 이용할 것을 권장한다.
| CERT가 보고한 영향 범위 | 최초 보안 수정 버전 | 업데이트 안내 |
|---|---|---|
| 6.0.0 이상 ~ 6.49.21 미만 | 6.49.21 | RouterOS 6 보안 릴리스 |
| 7.0.0 이상 ~ 7.23.4 미만 | 7.23.4 | 장기 채널의 경우 7.23.5 사용 권장 |
| 7.24 이상 ~ 7.24.2 미만 | 7.24.2 | 안정 채널 보안 릴리스 |
| CERT 공개 문서에 개발 채널 범위 미명시 | 7.25beta3 | 개발 채널 수정 버전 |
7.23.5 회귀 수정 버전은 7.23.4에서 도입된 IPv6 DHCP(동적 호스트 구성 프로토콜) 문제를 해결하면서도 보안 패치를 그대로 유지한다.
업데이트를 즉시 적용할 수 없는 경우, CERT는 외부에 노출된 서비스를 비활성화하거나 접근을 신뢰할 수 있는 관리 네트워크로 제한할 것을 권고하며, 특히 SSH, WWW/WWW-SSL, bandwidth-test 서비스에 대한 조치를 강조했다.
또한 패치되지 않은 기기에서 TLS(Transport Layer Security, 전송 계층 보안) 연결을 개시하거나 RouterOS 내장 SSH 클라이언트를 사용하는 것도 자제할 것을 권고했다. 이러한 임시 조치는 보다 광범위한 취약점 집합을 커버하기 위한 것으로, 업데이트를 대체하지는 않는다.
MikroTik의 Flagged 상태 안내에 따르면, RouterOS는 시작 시 의심스러운 설정이 감지되면 해당 기기에 Flagged 표시를 하며, 해당 항목을 비활성화하고 일부 기능을 제한한다.
업데이트 후에는 로그를 확인하고 /system/device-mode/print 명령을 실행해 해당 상태를 점검해야 한다. 경고가 없더라도 알 수 없는 사용자, 스크립트, 기타 인식되지 않는 설정 변경이 있는지 전체 설정을 검토해야 한다.
CERT는 예상치 못한 높은 권한의 ops 계정과 ssh:-2@가 포함된 계정 생성 로그를 침해 의심 징후로 제시했다.
경고, 로그, 또는 설정 검토를 통해 침해가 의심될 경우, CERT는 다음과 같은 복구 절차를 권고한다. Flagged 상태를 초기화하기 전에 반드시 증거를 보존하고 분석을 완료해야 한다.
- 라우터를 네트워크에서 격리하고, 초기화 전에 로그와 설정을 보존한다. 파일 내보내기 및 다운로드 방법은 CERT의 보존 가이드(폴란드어)를 참고한다.
- 공장 초기화 후 신뢰할 수 있는 검증된 설정으로 재구성한다. 잠재적으로 침해된 기기의 전체 백업을 그대로 복원해서는 안 된다.
- 사용 중인 비밀번호, 키 및 기타 자격증명을 모두 변경한다.
CERT는 보고된 2가지 취약점 조합을 'MikroTrick'이라고 명명했다. The Hacker News가 9월 6일 CERT의 경보와 취약점 공개 문서를 비교한 결과, 어느 문서도 관측된 공격 체인을 구성하는 2개의 취약점이 무엇인지, 그리고 이들이 어떻게 결합되어 관리자 권한을 부여하는지를 명시적으로 밝히지 않았다.
7.25beta3 릴리스 노트의 변경 로그 날짜는 9월 2일로 표기되어 있으며, 베타 및 기타 최초 수정 버전은 9월 3일 공개됐다. The Hacker News가 9월 6일 이 릴리스 공개 일정을 CERT의 공격 타임라인과 비교한 결과, 해당 날짜만으로는 공격 시작 전 패치가 공개되어 있었는지를 확인할 수 없어 제로데이 여부는 미검증 상태로 남아 있다.
The Hacker News는 CERT Polska와 MikroTik 측에 논평을 요청한 상태다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
