미국 사이버보안 기관 CISA가 Microsoft SharePoint와 MikroTik RouterOS에서 발견된 심각한 보안 취약점들을 실제 공격에 악용되고 있다며 KEV(실제 악용 확인 목록)에 등재했습니다. SharePoint 취약점(CVE-2026-65660)은 인증된 공격자가 네트워크를 통해 원격으로 코드를 실행할 수 있게 하며, Microsoft도 실제 공격 사례를 확인했습니다. MikroTik RouterOS에서는 두 가지 취약점을 결합한 'MikroTrick'이라는 공격 기법이 등장해, 비밀번호 없이도 인터넷에 노출된 라우터의 관리자 권한을 완전히 탈취할 수 있습니다. 해당 제품을 사용하는 조직은 즉시 패치를 적용해야 하며, 미국 연방 기관은 2026년 9월 28일까지 조치를 완료해야 합니다.
CISA가 Microsoft SharePoint(CVE-2026-65660)와 MikroTik RouterOS(CVE-2026-67279, CVE-2026-86060) 취약점 3건을 KEV 목록에 등재했습니다. SharePoint는 코드 인젝션으로 원격 코드 실행이 가능하고, MikroTik은 두 취약점을 연계한 'MikroTrick' 공격으로 비인증 상태에서 관리자 권한 탈취가 가능합니다.
SharePoint 서버에서는 인증된 공격자가 원격으로 임의 코드를 실행할 수 있습니다. MikroTik RouterOS 7.x 장비에서는 인터넷에 노출된 경우 비밀번호 없이 완전한 관리자 콘솔 접근이 가능하여 라우터 전체가 장악될 수 있습니다.
SharePoint는 코드 인젝션 결함(CVSS 8.8)이 원인입니다. MikroTik은 인증 전 세션 채널 생성을 허용하는 결함(CVE-2026-67279)과 로그인 과정에서 공격자가 제어하는 정책 마스크를 신뢰된 관리 ID로 처리하는 인수 인젝션 결함(CVE-2026-86060)이 결합된 것이 원인입니다.
CISA는 해당 취약점들을 KEV 목록에 등재하였으며, 미국 연방 민간 행정부(FCEB) 기관은 2026년 9월 28일까지 패치 적용을 완료해야 합니다. Bishop Fox는 RouterOS 7.x에서 전체 관리자 탈취를 재현하는 데 성공했습니다.
SharePoint Server를 운영하는 조직은 해당 보안 업데이트를 즉시 적용해야 합니다. MikroTik RouterOS 장비, 특히 인터넷에 직접 노출된 라우터는 긴급 패치가 필요하며 불필요한 외부 노출을 최소화해야 합니다.
본문
Ravie Lakshmanan 2026년 9월 26일 · 취약점 / 네트워크 보안
미국 사이버보안 및 인프라 보안국(CISA)은 금요일, Microsoft SharePoint와 MikroTik RouterOS에 영향을 미치는 두 가지 보안 결함을 실제 악용 증거를 근거로 KEV(Known Exploited Vulnerabilities) 목록에 추가했습니다.
해당 취약점은 다음과 같습니다.
- CVE-2026-65660 (CVSS 점수: 8.8) - Microsoft Office SharePoint의 코드 인젝션(주입) 취약점으로, 인증된 공격자가 네트워크를 통해 코드를 실행할 수 있습니다.
- CVE-2026-67279 (CVSS 점수: 6.9) - MikroTik RouterOS의 동작 흐름 강제 미적용 취약점으로, 인증되지 않은 클라이언트가 세션 채널을 열고 exec 요청을 전송할 수 있습니다.
The Hacker News가 이번 주 초 보도한 바에 따르면, CVE-2026-65660은 원래 Microsoft에 의해 SharePoint Server에 영향을 주는 스푸핑(위장) 취약점으로 설명되었습니다. 이후 Microsoft는 보안 권고문을 업데이트하여 해당 취약점이 원격 코드 실행(RCE)에 악용될 수 있다고 명시했습니다.
Microsoft는 "2026년 9월 25일 기준, 이 취약점의 악용에 대한 실제 공격 관측 신뢰할 만한 증거를 확보했다"고 밝혔습니다.
Microsoft는 공격의 배후, 시작 시점, 피해를 입은 조직의 수, 성공한 공격의 수, 그리고 공격자가 취약한 서비스에 침투한 후 무엇을 했는지에 대해서는 공개하지 않았습니다.
KEV 목록에 추가된 두 번째 취약점은 CVE-2026-67279로, MikroTrick이라는 이름의 익스플로잇(취약점 공격 코드)의 일환으로 CVE-2026-86060(RouterOS 로그인 과정의 인수 인젝션 결함)과 연계 사용된 것으로 알려졌습니다.
CERT Polska(폴란드 사이버보안 기관)에 따르면, 이 익스플로잇 체인은 비밀번호 없이도 인터넷에 노출된 취약한 라우터의 완전한 관리자 권한을 탈취하는 데 활용되었습니다.
폴란드 사이버보안 기관은 "두 취약점을 결합한 결과 관리 콘솔에 대한 완전한 비인증 접근이 가능해졌다"며 "CVE-2026-67279는 인증되지 않은 클라이언트가 세션 채널을 생성하도록 허용하고, CVE-2026-86060은 공격자가 제어하는 정책 마스크를 로그인 과정에 공급할 수 있도록 한다"고 설명했습니다.
별도의 분석에서 Bishop Fox는 취약한 RouterOS 7.x 빌드에서 완전한 관리자 탈취를 재현하는 데 성공했다고 밝혔습니다.
보안 연구원 Emilio Gallegos는 "MikroTrick은 서로 다른 신뢰 경계에서 발생하는 두 가지 실패를 결합한다"며 "첫 번째는 인증되지 않은 연결이 RouterOS가 로그인 이후에만 노출해야 하는 기능에 접근하도록 허용하고, 두 번째는 해당 연결의 데이터를 신뢰된 관리 ID로 처리하도록 로그인 과정을 유도한다"고 말했습니다.
그는 또한 "MikroTrick은 권한 있는 소프트웨어 설계상의 위험을 드러낸다. 신뢰할 수 있는 로컬 호출자만을 위해 의도된 기능이, 상위 컴포넌트가 인증 상태 추적을 잃어버릴 때 원격 공격 표면이 된다"고 덧붙였습니다.
한편 CISA는 CVE-2026-86060을 2026년 9월 11일에 KEV 목록에 추가한 바 있습니다. 연방 민간 행정부(FCEB) 기관은 2026년 9월 28일까지 필요한 패치를 적용해야 합니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
