폴란드 CERT가 MikroTik 라우터에서 두 가지 심각한 취약점을 발견했으며, 해커들이 이를 연계 공격(MikroTrick)으로 실제 악용하고 있습니다. 첫 번째 취약점(CVE-2026-67276)은 SSH 인증을 우회할 수 있게 하고, 두 번째(CVE-2026-86060)는 관리자 권한을 탈취할 수 있게 합니다. 인터넷에 SSH 서비스가 노출된 MikroTik 기기 약 12만 2,500대가 위험에 처해 있습니다. MikroTik은 9월 3일 패치(RouterOS 7.24.2, 7.23.4, 6.49.21 등)를 배포했으며, 즉시 업데이트가 어렵다면 외부에서 접근 가능한 SSH 서비스를 비활성화하는 것이 권장됩니다. 침해가 의심되는 경우 라우터를 격리하고 공장 초기화 후 재구성해야 합니다.
해커들이 MikroTik RouterOS의 SSH 인증 우회(CVE-2026-67276)와 권한 상승(CVE-2026-86060) 취약점을 연계한 'MikroTrick' 공격으로 인터넷에 노출된 라우터를 완전히 장악하고 있다. 세 번째 취약점(CVE-2026-67277)은 커널 메모리 유출 및 원격 재시작을 허용한다.
공격자는 비밀 키 없이 SSH 로그인 후 관리자 권한을 획득해 기기를 완전히 제어할 수 있다. 인터넷에 SSH가 노출된 MikroTik 기기가 약 12만 2,500대에 달하며, 정확한 취약 기기 수는 미확인이다.
RouterOS의 RSA 공개키 검증 미흡(CVE-2026-67276)과 특수 제작된 사용자명 처리 오류(CVE-2026-86060)로 인증 우회 및 권한 상승이 가능하다.
MikroTik은 2026년 9월 3일 RouterOS 7.25beta3, 7.24.2, 7.23.4, 6.49.21 버전에서 패치를 배포했다. 즉시 업데이트가 불가능한 경우 외부 접근 가능한 SSH·WWW/WWW-SSL·bandwidth-test 서비스를 제한 또는 비활성화해야 한다. 침해 의심 시 라우터를 격리하고 공장 초기화 후 신뢰할 수 있는 설정으로 재구성하며 비밀번호와 키를 교체해야 한다.
공격 지표(IoC)로 확인된 IP(82.192.72.4, 103.102.31.18)와 로그 항목('login failure for user -2', 'user added by ssh:-2')을 즉시 점검해야 한다. 업데이트 후에도 침해 마커가 없다고 안전을 보장할 수 없으므로 별도 IoC 확인이 필요하다.
본문
해커들이 MikroTik 라우터에서 최근 공개된 두 가지 취약점을 연계 악용해 인터넷에 SSH 서비스가 노출된 기기를 탈취하고 있다.
첫 번째 보안 문제는 CVE-2026-67276으로 추적되며, RSA 공개키의 불완전한 검증으로 인해 발생하는 MikroTik RouterOS의 SSH 인증 우회 취약점이다.
사용자명과 해당 사용자 키의 공개 모듈러스를 아는 공격자는 다른 키를 조작해 정당한 개인 키 없이 로그인할 수 있다.
두 번째 보안 문제는 CVE-2026-86060으로 식별된다. 이는 특수 제작된 사용자명의 부적절한 처리로 인한 MikroTik RouterOS의 SSH 권한 상승 취약점이다.
해커는 특수 제작된 사용자명을 이용해 SSH 세션을 조작함으로써 완전한 관리자 권한을 획득할 수 있다.
두 취약점은 폴란드 CERT가 GPT-5.5-cyber 및 GPT-5.6-sol의 도움을 받아 발견했으며, 심각도 '위급(Critical)'으로 평가받았다.
폴란드 CERT는 이 연계 공격을 "MikroTrick"으로 명명하고, 현재 실제 환경에서 적극적으로 악용되고 있다고 경고했다.
폴란드 CERT는 "최근 며칠간 인터넷에서 접근 가능한 RouterOS 기기에 대한 공격을 관찰하고 있다"고 밝혔다.
"공격자들이 이 취약점 조합을 악용해 SSH 서비스가 공개 네트워크에 노출된 기기를 완전히 장악하고 있다는 사실을 확인했다."
폴란드 CERT는 세 번째 취약점 CVE-2026-67277도 부각했다. 이 취약점은 RouterOS bandwidth-test 서비스에 영향을 미치며, 인증받지 않은 공격자가 커널 메모리를 유출하거나 원격으로 라우터를 충돌·재시작시킬 수 있게 한다.
MikroTik은 9월 3일 배포된 RouterOS 7.25beta3, 7.24.2, 7.23.4, 6.49.21 버전에서 이 취약점들을 수정했으며, 폴란드 CERT가 수정 사항을 검증했다.
MikroTik은 공지에서 모든 구성이 영향을 받는 것은 아니지만, 사용자가 보안 업데이트를 적용할 시간을 주기 위해 세부 사항은 공개하지 않았다고 밝혔다.
업데이트에는 라우터에 침해 감지 메커니즘이 추가되어, 시작 시 무단 설정 변경의 알려진 징후를 확인하고, 악성 항목을 비활성화하며, 위급 경고를 기록한다.
다만 CERT는 침해를 나타내는 마커가 없다고 해서 라우터가 침해되지 않았다는 보장은 없다고 강조했다.
CERT가 공유한 침해 지표(IoC)는 다음과 같다:
- 로그 항목:
'login failure for user -2 from <ip> via ssh'및'user <name> added by ssh:-2@<ip>' - 높은 권한을 가진 ops 계정의 존재
- 82.192.72.4 — 성공한 공격과 연관된 IP
- 103.102.31.18 — MikroTrick 악용 시도가 관찰된 IP
침해가 의심될 경우, 폴란드 CERT는 라우터를 격리하고 로그와 구성을 보존한 뒤, 기기를 공장 초기화하고 신뢰할 수 있는 구성으로 재구성하는 동시에 비밀번호·키 등 모든 시크릿을 교체할 것을 권고했다.
즉시 업데이트를 적용할 수 없는 경우, 외부에서 접근 가능한 SSH·WWW/WWW-SSL·bandwidth-test 서비스를 제한하거나 비활성화하고, 신뢰할 수 없는 네트워크에서 내장 SSH 클라이언트 및 아웃바운드 TLS 연결을 사용하지 말 것을 권장한다.
The ShadowServer Foundation이 제공한 데이터에 따르면, 9월 5일 기준 SSH 인터페이스가 노출된 MikroTik 기기는 122,500대에 달했다. 다만 MikroTik 익스플로잇에 실제로 취약한 기기의 정확한 수는 파악되지 않았다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
