미국 사이버보안 기관 CISA가 JFrog Artifactory, ConnectWise ScreenConnect, MikroTik RouterOS에서 발견된 보안 취약점 5개를 실제 악용이 확인된 목록(KEV)에 추가했습니다. 공격자들은 Artifactory의 취약점 세 개를 연속으로 활용해 서버 관리자 권한을 탈취하고 악성 플러그인과 백도어를 설치하는 공격을 벌였습니다. ScreenConnect에서는 인증 없이 파일을 전송·실행할 수 있는 결함(CVSS 9.9)이 악용돼 악성 VBScript가 배포됐으며, MikroTik RouterOS에서는 인증 없이 기기를 장악할 수 있는 취약점 두 개가 연계 공격('MikroTrick')에 사용됐습니다. 해당 제품을 운영 중인 조직은 CISA가 지정한 기한 이내에 반드시 패치를 적용해야 합니다.
CISA가 JFrog Artifactory(3건), ConnectWise ScreenConnect(1건), MikroTik RouterOS(2건)의 취약점 총 5개를 KEV에 추가했다. 세 제품 모두 실제 공격에서 적극적으로 악용되고 있음이 확인됐다.
Artifactory 자체 호스팅 서버에서 관리자 계정 생성·악성 Groovy 플러그인 배포·Rust 기반 백도어 설치가 관측됐고, ScreenConnect 클라이언트를 통해 악성 VBScript가 배포됐으며, MikroTik 라우터가 인증 없이 완전 장악될 수 있다.
인증 우회(Improper Authentication), 잘못된 권한 검증(Incorrect Authorization), 중요 기능에 대한 인증 누락(Missing Authentication), 권한 관리 미흡(Improper Privilege Management) 등 복수의 취약점이 존재하며 공격자가 이를 연계해 악용한다.
ScreenConnect는 버전 26.6.5로 업데이트가 권고됐다. 미국 FCEB 기관은 RouterOS 취약점을 9월 13일, ScreenConnect를 9월 14일, Artifactory를 9월 25일까지 의무 패치해야 한다.
세 제품 모두 실제 공격이 확인된 만큼 즉시 패치 적용이 최우선이다. Artifactory 운영 환경에서는 패치 외에도 관리자 계정 목록·Groovy 플러그인 무결성·백도어 흔적을 함께 점검해야 한다.
본문
Ravie Lakshmanan 2026년 9월 12일 · 취약점 / 기업 보안
미국 사이버보안 및 인프라 보안국(CISA)이 JFrog Artifactory, ConnectWise ScreenConnect, MikroTik RouterOS에 영향을 미치는 보안 취약점 5건을 알려진 악용 취약점(KEV) 카탈로그에 추가했다. 실제 악용 사례가 보고된 데 따른 조치다.
각 취약점의 세부 내용은 다음과 같다.
- CVE-2026-42016 (CVSS 점수: 8.1) - JFrog Artifactory의 잘못된 인가(Incorrect Authorization) 취약점. 토큰 범위(scope)가 아닌 서명·발급자만 검증하는 구조로 인해 권한 상승으로 이어질 수 있다.
- CVE-2026-42018 (CVSS 점수: 7.5) - JFrog Artifactory의 부적절한 인증(Improper Authentication) 취약점. 익명 접근이 비활성화된 환경에서도 내부 익명 사용자 토큰이 미인증 호출자에게 반환되어 민감한 리소스가 노출될 수 있다.
- CVE-2026-84869 (CVSS 점수: 9.9) - ConnectWise ScreenConnect의 권한 관리 미흡 및 인가 누락(Improper Privilege Management and Missing Authorization) 취약점. 공격자가 인가나 호스트 확인 없이 활성화된 원격 세션을 통해 파일을 전송하고 실행할 수 있다.
- CVE-2026-67277 (CVSS 점수: 8.8) - MikroTik RouterOS의 중요 기능에 대한 인증 누락(Missing Authentication for Critical Function) 취약점. btest 서비스에서 커널 메모리 노출 및 서비스 거부(DoS) 공격이 가능하다.
- CVE-2026-86060 (CVSS 점수: 9.2) - MikroTik RouterOS의 명령 인수 구분자 부적절 처리(Improper Neutralization of Argument Delimiters in a Command) 취약점. 공격자가 신뢰할 수 있는 RouterOS 정책 마스크를 변경해 권한 상승을 달성할 수 있다.
The Hacker News가 앞서 보도한 바와 같이, 공격자들은 2026년 8월 15일부터 9월 8일 사이에 두 개의 Artifactory 취약점을 CVE-2026-82329(CVSS 점수: 9.8)와 연계해 자체 호스팅 서버에 대한 관리자 권한을 탈취하고 백도어를 배포한 것으로 관측됐다. CVE-2026-82329는 이달 초 CISA KEV 카탈로그에 등재됐다.
Google 산하 Wiz는 "공격자들이 이 취약점들을 연계해 인증을 우회하고 권한을 상승시켜 취약한 Artifactory 인스턴스에 대한 관리자 권한을 획득하고 있다"고 밝혔다. "사후 악용 활동으로는 지속적인 관리자 계정 생성, 코드 실행을 위한 악성 Groovy 플러그인 배포, 지속성 확보를 위한 Rust 기반 백도어 설치가 확인됐다."
CVE-2026-84869의 악용은 Huntress가 기록한 서로 무관한 세 건의 사고와 연관되어 있다. 해당 사고에서 위협 행위자들은 ScreenConnect를 악용해 새로 연결된 시스템에 악성 VBScript(비주얼 베이직 스크립트) 페이로드를 배포했다.
ConnectWise는 이 결함을 "특정 상황에서 인가나 호스트 확인 없이 활성화된 원격 세션을 통해 파일이 전송·실행될 수 있는 ScreenConnect 클라이언트의 조건"이라고 설명했다. 이 문제는 ScreenConnect 서버에는 영향을 미치지 않는다.
Huntress는 업데이트에서 "특정 상황에서 호스트 클라이언트 시스템에 파일이 전송 및 실행될 수 있으며, 여기에는 상승된 실행 권한을 통한 경우도 포함된다"고 밝히며 조직들에게 ScreenConnect 버전 26.6.5로 업데이트할 것을 촉구했다.
CVE-2026-67277과 CVE-2026-86060의 KEV 등재는 지난주 CERT Polska의 보고서에 따른 것이다. CERT Polska는 신원 미상의 위협 행위자들이 MikroTik RouterOS의 취약점 두 개를 악용해 인증 없이 취약한 기기를 장악하는 것을 관측했다고 밝혔으며, 이 취약점 연계 공격을 'MikroTrick'으로 명명했다.
미국 연방 민간 행정부(FCEB) 기관들은 RouterOS 취약점을 2026년 9월 13일까지, ScreenConnect 취약점을 9월 14일까지, Artifactory 취약점을 9월 25일까지 패치해야 한다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
