폴란드 국가 사이버보안팀(CERT Polska)이 MikroTik의 라우터 운영체제인 RouterOS에서 6개의 취약점을 발견했으며, 그 중 두 가지를 조합하면 인터넷에 SSH 포트가 열린 장치를 비밀번호 없이 완전히 탈취할 수 있습니다. 실제 공격이 이미 진행 중이며, 최소 12만 2,500대 이상의 MikroTik 장치가 외부에 SSH가 노출된 상태입니다. 공격자는 장치에 "ops"라는 관리자 계정을 몰래 만드는 방식으로 흔적을 남깁니다. MikroTik은 RouterOS 7.24.2, 7.23.4, 6.49.21 버전 등에서 패치를 이미 배포했으며, 즉시 업데이트가 필요합니다. 패치가 어렵다면 당장 SSH와 대역폭 테스트 서비스를 외부에서 차단해야 합니다.
CERT Polska가 MikroTik RouterOS에서 6개의 취약점을 발견했고, 이 중 CVE-2026-67276(SSH 인증 우회, CVSS 9.2)과 CVE-2026-86060(권한 상승, CVSS 9.2)을 연결하는 'MikroTrick' 익스플로잇 체인으로 인증 없이 장치를 완전 장악하는 공격이 실제로 발생하고 있다.
인터넷에 SSH가 노출된 MikroTik 장치가 인증 없이 원격에서 완전히 탈취될 수 있다. Shadowserver 재단에 따르면 취약 가능성이 있는 장치가 하루 스캔 기준 12만 2,500대 이상이며, 공격자는 'ops'라는 고권한 계정을 생성하는 방식으로 지속 접근권을 확보한다.
RouterOS가 RSA 키 인증 시 공개 모듈(modulus)만 비교하는 결함(CVE-2026-67276)과, SSH 사용자명 처리 로직의 권한 상승 취약점(CVE-2026-86060)이 결합되어 인증 없이 관리자 권한 획득이 가능하다. 세 번째 취약점(CVE-2026-67277, CVSS 8.8)은 대역폭 테스트 서비스의 인증 전 상태 접근 및 메모리 노출 문제다.
MikroTik은 RouterOS 7.25beta3, 7.24.2, 7.23.4, 6.49.21 버전에서 패치를 배포했으며, 업데이트된 버전은 시작 시 구성을 자동 스캔하여 의심스러운 항목을 비활성화하고 'Flagged' 마커를 설정한다. CERT Polska는 즉시 업데이트 후 로그와 구성 전체를 점검할 것을 권고했다.
즉시 RouterOS를 패치 버전으로 업데이트하고, '/system/device-mode/print' 명령으로 Flagged 마커를 확인하며, 로그에서 'login failure for user -2' 또는 'user added by ssh:-2@' 항목과 'ops' 계정 존재 여부를 점검해야 한다. 즉시 패치가 불가한 경우 SSH·WWW/WWW-SSL·대역폭 테스트 서비스를 신뢰할 수 있는 관리 네트워크로만 제한해야 한다.
본문
공격자들이 RouterOS의 취약점 체인을 악용해 인터넷에 SSH가 열린 MikroTik 장치를 탈취하고 있다고 CERT Polska가 밝혔다.
폴란드 국가 CSIRT 팀인 CERT Polska는 RouterOS에서 6개의 취약점을 발견하고 MikroTik과 협력해 이를 공개했다. 그 중 두 가지를 조합하면, 장치의 SSH가 인터넷에 열려 있을 경우 인증 없이 장치를 완전히 장악할 수 있다. 이 익스플로잇 체인에는 'MikroTrick'이라는 이름이 붙었다.
CERT Polska 팀은 "최근 며칠 동안 인터넷에 노출된 RouterOS 장치를 대상으로 한 공격을 관측하고 있다. 공격자들이 이 취약점 조합을 악용해 공개 네트워크에서 SSH 서비스에 접근 가능한 장치를 완전히 장악하고 있음을 확인했다"고 밝혔다.
또한 "배포된 패치가 관측된 공격을 차단한다는 사실도 확인됐다. 즉시 업데이트를 적용할 것을 권고한다"고 덧붙였다.
이 취약점들은 OpenAI의 정부 및 신뢰 기관 협력 프로그램을 통해 팀이 접근한 GPT-5.5-cyber 및 GPT-5.6-sol 모델을 활용하여 발견됐다.
Shadowserver 재단은 Mastodon에 "2026년 9월 5일 24시간 스캔 기준, SSH가 열린 MikroTik 장치가 최소 122,500대 이상 발견됐다(취약점 여부 확인 없음)"고 게시했다.
침해 흔적
취약점 중 하나인 CVE-2026-67276(CVSS 9.2)은 RouterOS가 사용자 RSA 키 인증 시 전체 키 대신 공개 모듈(modulus)만 비교하는 데서 발생하는 SSH 인증 우회 취약점이다. 사용자 이름과 해당 모듈값을 아는 공격자가 별도의 키를 조작해 개인 키 없이도 로그인하여 해당 계정 권한을 획득할 수 있다.
CVE-2026-86060(마찬가지로 CVSS 9.2)은 RouterOS가 금지된 문자로 시작하는 SSH 사용자명을 처리하는 방식의 권한 상승 취약점으로, 공격자가 조작된 사용자명으로 전체 관리자 권한을 가진 세션을 얻을 수 있다.
세 번째 취약점인 CVE-2026-67277(CVSS 8.8)은 대역폭 테스트(bandwidth-test) 서비스에 존재하며, 미인증 연결이 로그인 사용자에게만 허용된 상태에 도달할 수 있다. 초기화되지 않은 패킷 버퍼 데이터 유출 및 크기 검증의 정수 언더플로우(integer underflow)와 결합되면 커널 메모리가 노출되거나 장치가 재시작될 수 있다.
추가로 세 가지 낮은 심각도의 취약점이 SSH 클라이언트, X.509 인증서 처리, WebFig 인터페이스에 각각 영향을 미친다.
연구자들이 관측된 공격의 지표(IoC)로 제시한 로그 항목은 다음과 같다:
- login failure for user -2 from via ssh
- user added by ssh:-2@
설명 없이 "ops"라는 고권한 사용자가 나타나는 것도 또 다른 지표다. 팀은 해당 "ops" 계정 생성을 포함한 확인된 성공적 공격을 적어도 9월 2일부터 활동 중인 IP 주소 82.192.72.4로 추적했으며, 동일한 체인 익스플로잇 시도에 사용된 두 번째 주소 103.102.31.18도 식별했다.
패치 및 탐지
MikroTik은 보안 공지에 따라 RouterOS 버전 7.25beta3, 7.24.2, 7.23.4, 6.49.21에서 수정 사항을 배포했다.
MikroTik은 "이것은 중요한 보안 업데이트다. 대부분의 구성은 위험하지 않지만, 업그레이드를 강력히 권고한다. 시스템 업데이트 시간을 드리기 위해 현재 상세 정보는 공개하지 않는다"고 밝혔다.
"일반 가정용 사용자에게는 즉각적인 위험이 없지만, 모든 사용자에게 업그레이드를 권장한다"고 덧붙였다.
패치된 버전에는 시작 시 구성을 스캔해 무단 변경의 알려진 징후를 탐지하고, 의심스러운 항목을 비활성화하며, 로그에 메시지를 기록하고 "Flagged" 마커를 설정하는 메커니즘이 포함됐다.
MikroTik은 "장치가 Flagged 상태가 아니더라도, RouterOS 업그레이드 후 알 수 없는 스크립트, 사용자 또는 인식할 수 없는 기타 구성이 있는지 장치 구성을 점검하라"고 덧붙였다.
권고 사항
CERT Polska는 RouterOS를 즉시 7.25beta3, 7.24.2, 7.23.4, 또는 6.49.21로 업데이트한 후, 로그에서 침해 메시지와 /system/device-mode/print 명령 출력의 Flagged 마커를 확인하고, 알 수 없는 사용자·스크립트·기타 인식할 수 없는 변경 사항이 있는지 구성 전체를 검토할 것을 권고한다.
즉시 패치를 적용할 수 없는 경우, SSH·WWW/WWW-SSL·대역폭 테스트 서버를 포함한 외부 노출 서비스를 비활성화하거나 신뢰할 수 있는 관리 네트워크로 제한하고, 패치되지 않은 장치에서 신뢰할 수 없는 네트워크를 통한 TLS 연결이나 내장 SSH 클라이언트 사용을 피할 것을 권고한다.
"이는 공격 표면을 줄이는 임시 조치일 뿐이며, 패치된 RouterOS 버전 설치를 대체하지 않는다."
연구자들은 패치된 패키지가 이미 공개돼 있어 커뮤니티가 비교 분석을 통해 일부 수정된 버그를 역추적할 수 있게 됐기 때문에 가속된 일정으로 이 정보를 공개했다.
"관리자에게 필요한 정보로만 설명을 제한하며, 공격 자동화를 용이하게 할 익스플로잇 코드나 세부 사항은 공개하지 않는다"고 연구자들은 마무리했다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
