CISA, MikroTik RouterOS의 심각한 인증 전 원격 코드 실행 취약점 경고

한 줄 요약

미국 CISA(사이버보안 및 인프라보안국)가 MikroTik RouterOS의 심각한 취약점(CVE-2026-84411)에 대해 경고했습니다. 이 취약점은 로그인 없이도 조작된 요청 하나만으로 공격자가 기기를 관리자 권한으로 완전히 장악하거나 서비스를 마비시킬 수 있는 매우 위험한 문제입니다. 아직 실제 공격 사례는 확인되지 않았지만, MikroTik 장비는 과거에도 해커와 봇넷 악성코드의 주요 표적이 되어온 만큼 주의가 필요합니다. RouterOS 7.24 미만 버전이 영향을 받으며, 제조사는 7.23 이상 버전으로 업데이트할 것을 권고했습니다. 실제로 최근 폴란드 침해사고대응팀은 SSH가 인터넷에 노출된 MikroTik 장비를 대상으로 한 별도의 취약점 조합 공격 사례를 경고한 바 있습니다.

사건

MikroTik RouterOS의 웹 관리 기능에서 인증 없이도 악용 가능한 심각한 취약점(CVE-2026-84411)이 발견되어 CISA가 경고를 발령했다.

영향

공격자가 조작된 요청 한 번으로 root 권한 원격 코드 실행(RCE, 원격에서 시스템을 마음대로 실행할 수 있는 공격) 또는 서비스 거부(DoS)를 일으킬 수 있다.

원인

RouterOS의 HTTP 요청 본문 처리 과정에서 정수 언더플로(integer underflow) 취약점이 인증 전 단계에서도 접근 가능하게 존재한다.

대응

제조사는 RouterOS 7.23 이상 버전으로 업데이트할 것을 권고했으며, CISA는 제어 시스템을 인터넷에서 격리하고 방화벽·VPN을 통해 접근을 통제할 것을 권장했다.

실무 포인트

아직 실제 악용 사례는 없지만 MikroTik 장비는 봇넷·해킹 공격의 단골 표적이므로, 관리 인터페이스를 외부에 노출하지 않고 신속히 패치해야 한다.

본문

미국 사이버보안 및 인프라보안국(CISA)이 MikroTik RouterOS의 새로운 심각한 취약점을 경고했다. 이 취약점은 원격 코드 실행이나 서비스 거부(denial-of-service) 상태를 유발할 수 있다.

CVE-2026-84411로 추적되는 이 보안 문제는 RouterOS의 웹 관리(web-management) HTTP 요청 처리 과정에 존재하는 인증 전(pre-authentication) 정수 언더플로(integer underflow) 취약점이다.

CISA에 따르면, 조작된 요청 하나만으로 root 권한의 코드 실행이나 서비스 거부를 일으킬 수 있다.

경보문에는 다음과 같이 적혀 있다. "영향을 받는 RouterOS 버전의 웹 관리 서비스에는 HTTP 요청 본문 처리 과정에서 정수 언더플로가 존재하며, 이는 인증 전 단계에서도 접근 가능하다."

"이를 이용하면 인증되지 않은 네트워크 공격자가 조작된 요청 하나만으로 root 권한의 임의 코드 실행을 달성하거나 서비스 거부를 유발할 수 있다."

해당 기관은 이 취약점이 실제로 악용되고 있다는 정황은 확인하지 못했지만, 조직들에게 위험을 알리고 방어 조치를 제공하기 위해 이 권고문을 발표했다.

CISA는 현재 MikroTik RouterOS 7.24 미만 버전이 영향을 받는다고 밝혔다. 다만 제조사는 위험을 완화하기 위해 사용자들에게 7.23 버전 이상으로 업데이트할 것을 권고하고 있다고도 전했다.

참고로 MikroTik RouterOS의 최신 안정 버전은 7.24.4이며, 가장 최근의 장기 지원(long-term) 버전은 7.23.7로, 둘 다 9월 16일부터 제공되고 있다.

BleepingComputer는 CVE-2026-84411의 영향을 받는 RouterOS 버전에 대한 명확한 설명을 요청하기 위해 MikroTik와 CISA 양측에 이메일을 보냈으나, 게재 시점까지 답변을 받지 못했다. 제조사는 아직 이 문제에 대한 보안 권고문을 발표하지 않았다.

MikroTik 라우터 사용자를 위한 CISA의 권장 방어 조치는 다음과 같다.