마이크로틱(MikroTik) 라우터의 운영체제인 RouterOS에서 심각한 보안 취약점이 발견됐으며, 실제 공격에 이미 악용되고 있습니다. 공격자는 비밀번호나 개인키 없이 SSH(원격 접속 서비스)를 통해 장비에 접속한 뒤, 최고 관리자 권한까지 빼앗을 수 있습니다. 폴란드 침해사고 대응기관은 이 공격이 최소 9월 2일부터 실제로 발생했음을 확인했으며, 피해 장비에는 'ops'라는 이름의 수상한 계정이 몰래 만들어진 사례가 발견됐습니다. 마이크로틱은 9월 3일 보안 패치를 배포했으므로, RouterOS를 사용하는 기업은 즉시 최신 버전으로 업데이트해야 합니다. 패치가 어려운 경우에는 SSH 등 관리 서비스를 인터넷에 직접 노출하지 않도록 설정을 변경하는 것이 필수입니다.
마이크로틱 RouterOS의 CVE-2026-67276(SSH 인증 우회)과 CVE-2026-86060(권한 상승) 취약점을 연계한 공격이 실제 확인됐다. 폴란드 CERT Polska가 이를 'MikroTrick'으로 명명하고 공개했으며, 공격 성공 시 인증 없이 최고 관리자 권한 획득이 가능하다.
RouterOS 6.0.0~6.49.21 미만, 7.0.0~7.23.4 미만, 7.24.0~7.24.2 미만 전 버전이 영향을 받는다. SSH 관리 서비스가 인터넷에 노출된 미패치 장비는 즉각적인 피해 위험에 처해 있으며, 실제 피해 장비에서는 'ops' 계정 무단 생성이 확인됐다.
SSH 인증 처리 과정과 사용자 이름 처리 과정 각각에 존재하는 취약점 두 개를 연계 악용한다. 관리 서비스를 인터넷에 직접 노출한 설정이 공격 성공의 주요 조건이다.
마이크로틱은 9월 3일 RouterOS 6.49.21, 7.23.4, 7.24.2, 7.25beta3에 패치를 배포했다. 장기 지원 채널 사용자는 7.23.5 이상으로 업데이트해야 하며, 패치 후 무단 계정·스크립트·방화벽 규칙 등 설정 전반의 침해 흔적을 반드시 점검해야 한다.
패치 즉시 적용이 최우선이며, 적용 전까지는 SSH·WWW·WWW-SSL 등 관리 서비스의 인터넷 직접 노출을 차단하고 신뢰 IP만 허용해야 한다. 침해가 의심되면 기존 백업 복구 대신 공장 초기화 후 검증된 설정으로 재구성해야 공격자 계정 재유입을 막을 수 있다.
본문
마이크로틱(MikroTik)의 라우터 운영체제 라우터OS(RouterOS) 취약점을 악용해 인증 없이 장비 관리자 권한을 탈취하는 공격이 실제 발생한 것으로 확인됐다.
폴란드 국가 침해사고 대응기관 CERT 폴스카(CERT Polska)는 2026년 9월 5일 RouterOS 취약점 6개를 공개하고, 이 가운데 CVE-2026-67276과 CVE-2026-86060을 결합한 공격이 실제 악용되고 있다고 밝혔다. CERT 폴스카는 이 공격을 '마이크로트릭(MikroTrick)'으로 명명했다.
SSH 인증 우회해 최고 관리자 권한 획득
공격자는 먼저 SSH 인증 과정의 취약점을 이용해 정상 개인키 없이 접속한 뒤, 사용자 이름 처리 과정의 또 다른 취약점을 악용해 최고 관리자 권한을 획득할 수 있다.
특히 SSH 관리 서비스가 인터넷에 직접 노출된 미패치 장비가 위험하다.
CERT 폴스카에 따르면 성공적인 공격은 최소 9월 2일부터 확인됐다. 실제 공격에서는 'ops'라는 이름의 고권한 계정이 생성됐으며 로그에 'ssh:-2@' 형태의 기록이 남은 사례도 발견됐다.
관리자는 자신이 만들지 않은 'ops' 계정이나 다음과 같은 SSH 관련 로그가 있는지 확인할 필요가 있다.
login failure for user -2
user <name> added by ssh:-2@<IP>
다만 이런 흔적이 없다고 해서 장비가 안전하다고 단정할 수는 없다.
RouterOS 구버전 광범위하게 영향
영향을 받는 버전은 RouterOS 6.0.0 이상 6.49.21 미만, RouterOS 7.0.0 이상 7.23.4 미만, RouterOS 7.24 이상 7.24.2 미만이다.
마이크로틱은 9월 3일 보안 업데이트를 공개했다. RouterOS 6.49.21, 7.23.4, 7.24.2와 개발 버전 7.25beta3에 수정 사항이 적용됐다. 장기 지원 채널 사용자는 이후 배포된 7.23.5 이상으로 업데이트하는 것이 권고된다.
업데이트 후 침해 여부까지 확인해야
관리자는 RouterOS를 최신 버전으로 업데이트한 뒤 사용자 계정과 스크립트, 방화벽 규칙, 터널, 스케줄러 등 설정에 자신이 추가하지 않은 항목이 있는지 확인해야 한다.
패치를 바로 적용하기 어렵다면 SSH, WWW, WWW-SSL 등 관리 서비스를 인터넷에 직접 노출하지 말고 신뢰할 수 있는 관리망이나 IP에서만 접근하도록 제한해야 한다.
침해가 의심되는 장비는 네트워크에서 격리한 뒤 로그와 설정을 먼저 보존해야 한다. 이후 공장 초기화를 실시하고 검증된 설정으로 다시 구성하는 것이 안전하다. 기존 백업을 그대로 복구할 경우 공격자가 만든 계정이나 악성 설정까지 다시 살아날 수 있어 주의가 필요하다.
이번 공격은 라우터 관리 포트를 인터넷에 직접 노출하는 설정이 얼마나 위험한지 보여주는 사례다. 마이크로틱 RouterOS를 사용하는 기업과 기관은 패치 여부와 함께 SSH 등 관리 서비스의 외부 노출 여부를 우선 점검해야 한다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
