CVE-2026-86060Active Exploitation(mikrotik / routeros)

CRITICALCVSS 9.8 · CRITICALCISA KEV

Exploitation observed; activity peaked at 11 mentions and remains active

Immediate actions

Patch mikrotik routeros systems immediately
Assume compromise if assets are exposed
Hunt for exploitation attempts and persistence artifacts
Increase monitoring for publicly documented tradecraft

Recommended action window: Immediate (within 24h)

NVD description

RouterOS contains an argument-handling flaw in the SSH login path involving usernames that begin with a prohibited character, allowing for the trusted RouterOS policy mask to be changed, leading to privilege escalation. Exploitation requires an unauthenticated SSH session to reach the RouterOS login helper.This issue was fixed in versions: 6.49.21 (Long-term), 7.23.4 (Long-term) and 7.24.2 (Stable)

mikrotik CVEs Back to dashboard

8.5/ 10 priority

Sources & remediation

Listed in the CISA Known Exploited Vulnerabilities catalog. Federal remediation due date: 2026-09-13. Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Exploit / PoC references

https://npratley.net/reversing-mikrotiks-silent-patch-the-routeros-7-23-4-fix-they-wouldnt-explain/

Vendor / third-party advisories

Other references

Weakness type (CWE)

CWE-88

Priority

CRITICAL

Exploitation

ACTIVE

PoC

YES

Patch

AVAILABLE

Momentum

DECLINING

Are you affected?

If you run products in this scope, you should treat this CVE as relevant to your environment.

routeros

Threat summary

Active exploitation appears in 66 classified signals
Public PoC and exploit tooling are both present
Patch or workaround signal is available
97 mentions across 27 observed days

What's happening

Active exploitation reported across 66 signals
Exploit tool or code specified in 9 signals
PoC mentioned or linked in 14 signals
Patch or workaround mentioned in 53 signals
Technical details provided in 82 signals
Disclosure: 12 classified signals
Peaked 20d ago at 11 mentions (2026-09-11); latest day: 2
97 total mentions across 27 days

Affected systems

Vendors

mikrotik

Products

routeros

Deep dive

Activity timeline97 mentions / 27d

Signal classification6 categories

Active Exploitation

6569.1%

Disclosure

1212.8%

Patch

1010.6%

Exploit

44.3%

PoC

22.1%

General

11.1%

Referenced assets98 URLs

By indicator

Classification over time

Date	Total	Labels

2026-09-05	1	Disclosure1
2026-09-06	7	Active Exploitation3Disclosure1General1Patch1PoC1
2026-09-07	10	Active Exploitation6Disclosure2Patch1PoC1
2026-09-08	6	Active Exploitation5Exploit1
2026-09-09	4	Active Exploitation4
2026-09-10	5	Active Exploitation3Patch2
2026-09-11	11	Active Exploitation7Disclosure1Patch3
2026-09-12	1	Active Exploitation1
2026-09-13	4	Active Exploitation4
2026-09-14	4	Active Exploitation4
2026-09-15	3	Active Exploitation1Disclosure2
2026-09-16	1	Active Exploitation1
2026-09-17	4	Active Exploitation4
2026-09-18	4	Active Exploitation3Disclosure1
2026-09-19	1	Disclosure1
2026-09-20	1	Active Exploitation1
2026-09-21	1	Disclosure1
2026-09-23	5	Active Exploitation3Exploit1Patch1
2026-09-24	2	Active Exploitation2
2026-09-25	4	Active Exploitation2Exploit1Patch1
2026-09-26	8	Active Exploitation7Patch1
2026-09-27	2	Disclosure1Exploit1
2026-09-28	3	Active Exploitation2Disclosure1
2026-09-29	1	Active Exploitation1
2026-10-02	1	Active Exploitation1

Full discourse20 posts

!Manan@0xManan25d
Active Exploitation
PoC is public. Internet-facing MikroTik SSH → full admin. No password. No key. MikroTrick: CVE-2026-67279 + CVE-2026-86060. Fresh on CISA KEV. Chain: password auth as `-2` (rejected but left sticky) → pre-auth rekey drops the auth gate → `/nova/bin/login` treats `-2` as “read identity + policy from fd 2” → all-ones mask = full admin. IoC: `login failure for user -2 via ssh` then `user added by ssh:-2@…` PoC: https://github.com/digiprosec/MicroTrick Writeup: https://cert.pl/en/posts/2026/09/mikrotrick-technical-analysis/ Patch: 7.23.4 / 7.24.2 / 6.49.21 - then hunt `ops` + Flagged. #MikroTik #RouterOS #CVE #PoC #InfoSec #CyberSecurity
Post summary
The post asserts CVE-2026-67279 and CVE-2026-86060 (MikroTrick) are fresh on CISA KEV and provides a public GitHub PoC alongside detailed SSH authentication bypass mechanics. It also specifies patched RouterOS versions (7.23.4, 7.24.2, 6.49.21) for remediation.
13121751742240.0K
2.3K followersView on X
YogSotho@YogSoth043d
Exploit
🧨🧨🧨 MIKROTRICK 🧨🧨🧨 Weaponized MikroTik RouterOS exploitation framework. - CVE-2026-67279 - CVE-2026-86060 - CVE-2026-67276 - CVE-2026-67281 - CVE-2026-67277 - CVE-2026-67278 - CVE-2025-61481 - CVE-2025-10948 - CVE-2018-14847 Now available at my beloved ❤️ https://gibliz.taile5d4a8.ts.net/0days/ #exploit #rce #vulnerabilities #cve #0days #mikrotik #router #cybersecurity #infosec #antisec #linux
Post summary
The post advertises a weaponized MikroTik RouterOS exploitation framework with a public download link for multiple CVEs, but it lacks evidence of active attacks, patches, or technical details about the vulnerabilities.
720277765.2K
2.0K followersView on X
Tolmo@TolmoHQ45d
PoC
It took us 3 hours to rewrite the full pre-auth RCE MikroTrick chain (CVE-2026-67279, CVE-2026-86060, CVE-2026-67276) from the public advisory. https://open.substack.com/pub/tolmo/p/pre-auth-rce-on-mikrotik-exploited?r=9tyic&utm_campaign=post&utm_medium=web&showWelcomeOnShare=true
Post summary
The post reports that the author rewrote a pre‑authentication RCE chain for MikroTrik, referencing three CVEs and providing a link (likely containing the PoC), but does not detail exploit code or active attacks.
518246286.6K
281 followersView on X
GovCERT.CZ@GOVCERT_CZ43d
Active Exploitation
🚨 Upozorňujeme na kritické zranitelnosti v RouterOS v zařízeních MikroTik, CVE-2026-67277, CVE-2026-86060, CVE-2026-67276. Zranitelnosti umožňují vzdálené spuštění kódu s administrátorskými oprávněními prostřednictvím služby SSH, přičemž exploit zcela obchází všechny autentizační mechanismy. Zneužití spočívá v odeslání požadavku na ověření s uživatelským jménem „-2“, otevření kanálu relace a vyžádání PTY, kde lze vložením masky zásad RouterOS dosáhnout spuštění kódu s plnými oprávněními bez použití hesla, klíče, podpisu ani jiných přihlašovacích údajů. Aktuálně dochází k masovému zneužívání těchto zranitelností a útočníci po kompromitaci upravují konfiguraci zařízení tak, aby si zajistili trvalý přístup přetrvávající i po aktualizaci firmware. Prvotní zneužití může vytvářet log „login failure for user -2“, další aktivity však nemusí být v logách spolehlivě zaznamenány. Doporučená nápravná opatření zahrnují aktualizaci firmware, kompletní revizi konfigurace, ověření známek kompromitace, zvážení omezení SSH z veřejného internetu a v některých případech i kompletní reinstalaci zařízení. Více informací lze také nalézt na našem Portále, odkaz naleznete v komentáři pod příspěvkem. 📌Doporučujeme zařízení MikroTik aktualizovat na nejnovější verzi.
Post summary
The text announces that CVE‑2026‑67277, CVE‑2026‑86060, and CVE‑2026‑67276 are actively exploited in MikroTik RouterOS devices via SSH, and urges users to patch, reconfigure, and limit SSH access.
417043295.7K
4.3K followersView on X
DMNTR Network Solutions 👻 AS204773@weareDMNTRs45d
Disclosure
- CVE-2026-86060 — Escalada de privilegios vía manejo de argumentos en el proceso de login SSH (sesión SSH no autenticada). - CVE-2026-67281 — Lectura de ficheros sin autenticación en WebFig (/jsproxy), con posible exposición de ficheros de configuración y credenciales. - CVE-2026-67279 — Ejecución de peticiones exec por SSH sin autenticación previa, permitiendo creación y sobrescritura de ficheros gestionados por RouterOS. - CVE-2026-67278 — Aceptación de firmas RSA/PKCS#1 v1.5 malformadas en la validación X.509, habilitando suplantación de servidores TLS. - CVE-2026-67277 — Sesiones btest "related" sin autenticación completada, con fuga de memoria de buffers de kernel y posible reinicio del equipo (denegación de servicio). - CVE-2026-67276 — Comparación incompleta de clave pública RSA en autenticación SSH, permitiendo autenticarse como un usuario autorizado sin disponer de su clave privada.
Post summary
The text lists several 2026 CVEs with concise technical descriptions but contains no evidence of active exploitation, exploit code, or patch information.
513061124.7K
25.9K followersView on X
Dark Web Intelligence@DailyDarkWeb28d
Active Exploitation
🚨 MIKROTIK “MIKROTRICK”: UNAUTH SSH CHAIN TO FULL ADMIN — EXPLOITED BEFORE PATCHES CERT Polska published a 22 Sep 2026 technical analysis of MikroTrick, the unauthenticated MikroTik RouterOS SSH takeover chain combining CVE-2026-67279 (rekey state-machine flaw) with CVE-2026-86060 (username “-2” / login argv injection) for full admin without password or SSH key. • Patches: RouterOS 6.49.21, 7.23.4, 7.24.2, 7.25beta3 (vendor released ~3 Sep 2026) • CERT Polska says logs matching the chain (failed login for user -2, privileged “ops” account) appeared as early as 2 Sep — before patches • Distinctive IoCs: login failure for user -2; creation of fully privileged ops; connections from 82.192.72.4 in public reports; Flagged/device-mode checks after update • CVE-2026-86060 added to CISA KEV (10 Sep) with short remediation window • CERT incorrectly notes some coverage mixed in CVE-2026-67276 (separate RSA-forge path) — MikroTrick is the 67279+86060 pair • Immediate: patch, restrict public SSH, hunt -2 / ops / unknown config changes per MikroTik security bulletin ⚠️ Analyst Note: Primary is CERT Polska’s own technical write-up (not The Hacker News / Telegram CTI). Exploitation evidence is from CERT coordination plus public admin logs; treat as confirmed vulnerable-device attacks against internet-exposed SSH, not a new zero-day today. We assess MikroTrick as a confirmed, previously exploited RouterOS admin-takeover chain — patch and hunt now if not already done. Primary (CERT Polska, 22 Sep 2026): https://cert.pl/en/posts/2026/09/mikrotrick-technical-analysis/ Also: https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/ #DDW #MikroTik #MikroTrick #RouterOS #KEV #ThreatIntelligence #CyberSecurity
Post summary
The post reports active exploitation of the MikroTik MikroTrick SSH takeover chain (CVE-2026-67279 and CVE-2026-86060) with evidence of attacks prior to patch release, advising immediate patching and hunting for indicators.
45132177.2K
209.0K followersView on X
CISA Cyber@CISACyber41d
Active Exploitation
🛡️ We added MikroTik RouterOS vulnerabilities CVE-2026-67277 & CVE-2026-86060 to our KEV Catalog. Visit https://go.dhs.gov/Z3Q & apply mitigations to protect your org from cyberattacks. #Cybersecurity https://t.co/9L1Qot9oig
Post summary
The DHS tweet announces that MikroTik RouterOS vulnerabilities CVE-2026-67277 and CVE-2026-86060 are actively exploited and urges organizations to apply available mitigations.
09022312.3K
303.3K followersView on X
Rıdvan Yağlı@ridvanyagli25d
Active Exploitation
🔴 MikroTik RouterOS için MicroTrick PoC yayınlandı. CVE-2026-86060 (CVSS 9.2 Critical) + CVE-2026-67279 (CVSS 6.9) zinciri, kimlik doğrulaması olmadan tam yönetici yetkisine ulaşılmasını sağlıyor. PoC; SSH üzerinden -2 kullanıcı adı, pre-auth rekey ve login helper'daki dosya descriptor/policy maskesi hatalarını zincirleyerek RouterOS üzerinde yetkili oturum elde ediyor ve yüksek yetkili hesap oluşturabiliyor. 🔴 Etkilenen: • RouterOS 6.0–6.49.20 • RouterOS 7.0–7.23.3 • RouterOS 7.24–7.24.1 ✅ Düzeltilen: • 6.49.21 • 7.23.4 • 7.24.2 • 7.25beta3 ⚠️ Zincirin gerçek saldırılarda aktif olarak kullanıldığı CERT Polska tarafından bildirildi. İnternete açık MikroTik SSH servisleri özellikle kontrol edilmeli. https://github.com/digiprosec/MicroTrick
Post summary
This tweet announces the MicroTrick PoC for CVE-2026-86060 and CVE-2026-67279 affecting MikroTik RouterOS, citing CERT Polska that the vulnerability chain is actively exploited in the wild while listing fixed versions.
120107786
2.5K followersView on X
CCB Alert@CCBalert23d
Active Exploitation
Warning: Critical MikroTik RouterOS flaws are under active exploitation. CERT Polska reports CVE-2026-67279 + CVE-2026-86060 can enable unauthenticated full router takeover. #Patch #Patch #Patch
Post summary
Two MikroTik RouterOS CVEs (CVE-2026-67279, CVE-2026-86060) are being actively exploited to achieve unauthenticated full router takeover.
22012547
7.3K followersView on X
Pruva@pruvadev44d
PoC
MikroTik RouterOS CVE-2026-67279 + CVE-2026-86060, #pruva reproduced the chain: 1. CVE-2026-67279 provided the unauthenticated SSH session/exec path. 2. CVE-2026-86060 used the -2 identity/trusted-field behavior to obtain privileged RouterOS operations. https://www.pruva.dev/reproductions/REPRO-2026-00344
Post summary
The tweet reports that #pruva has reproduced a two‑vulnerability chain (CVE‑2026‑67279 and CVE‑2026‑86060) against MikroTik RouterOS, providing a proof‑of‑concept that demonstrates unauthenticated SSH access followed by privilege escalation via the trusted‑field behavior.
111401.4K
83 followersView on X
VulnTracker@vuln_tracker41d
Active Exploitation
"MikroTrick": two chained MikroTik RouterOS flaws let attackers skip authentication entirely and land straight at full admin control. CVE-2026-67276 bypasses SSH auth via incomplete RSA key validation. CVE-2026-86060 then escalates to full administrative privileges via a crafted username. CISA added CVE-2026-86060 to its Known Exploited Vulnerabilities catalog on September 10 — even though it still carries no CVSS score. Active exploitation doesn't wait for a number. Patch now. Details: http://vulntracker.io/cves/CVE-2026-86060 Full breakdown on our blog: https://vulntracker.io/blog/mikrotik-routeros-under-active-attack-cve-2026-86060 #MikroTik #RouterOS #CVE #CISA #VulnTracker
Post summary
Two MikroTik RouterOS flaws enable full administrative control; active exploitation confirmed by CISA, detailed technical breakdown provided, and patches are now available.
01050234
815 followersView on X
서버쟁이 놀이터@ueo0j39d
Active Exploitation
📊 9/13 통합 브리핑 개발 파이프라인이 이번 주 공격면의 중심이다. GitLab CVSS 10.0은 내일(9/14) KEV 마감이고, JFrog·ScreenConnect도 같은 주에 악용이 확인됐다. 말은 "속도 조절"인데 SpaceX·Oracle 쪽 자본은 반대로 움직인다. —— 오늘 먼저 —— ① GitLab CVE-2026-85706 — 내일(09-14) KEV 마감 자체 호스팅이면 19.1.8 / 19.2.6 / 19.3.2+. 패치 후 CI 변수·토큰·secrets.yml 회전 + 9/11 이전 접근 로그 포렌식. ② JFrog Artifactory · ScreenConnect — KEV, 실제 악용 CVE-2026-42016/42018(익명→관리자 체인)·CVE-2026-84869. 아티팩트 저장소·원격 접근 도구부터 버전·노출 확인. ③ Check Point VPN 2건 — 아직 악용 전 = 패치 창 CVE-2026-85102/85103 (CVSS 9.8 무인증 RCE). LivePatch Take 24 / Jumbo Hotfix. 네덜란드 NCSC "악용 임박". ④ GitHub Actions self-hosted — 내일(09-14) 브라운아웃 최소 버전 2.329.0. 9/14·16·18 등록·실행 차단, 9/25 전면. AMI·이미지·bootstrap까지 같이 올려야 CI가 안 멈춘다. ⑤ LiteLLM 예제 키 · Kiro/projen — 로컬·게이트웨이 위생 노출 LiteLLM 10곳 중 1곳이 sk-1234. Kiro 0.8.135+, projen 0.103.0+ 후 tasks.json 재생성. —— AI —— ──────── ▣ 🔴 Anthropic — 중국 7개 랩 '산업 규모' Claude 증류 공개 핵심: Alibaba·Moonshot·DeepSeek·Zhipu·MiniMax·Xiaomi·SenseTime 실명 지목. 최대 캠페인 GTG-16005(Alibaba 계열)는 5~7월 1억 5,100만 교환·피크 일 300만·위조 계정 3,500+. 제품 대응: 리셀러 차단, 응답 전 추론 요약, preserved thinking(다중 턴 추론 암호화). 왜 중요한가: 담론이 아니라 API 응답 형태가 바뀐다. 추론 토큰을 파싱·후처리하는 파이프라인은 오늘 재점검. 귀속·피해 규모는 Anthropic 자체 집계. https://www.anthropic.com/threat-intelligence-report-september-2026 ──────── ▣ Anthropic 위협 보고서 — GTG-10007 월 제로데이 후보 12건+ 핵심: 2025-12~2026-08, 7개 오용 영역. GTG-10007은 약 50개 조직 표적·한 달에 제로데이 후보 12건 이상. GTG-50014(ShinyHunters 계열)는 EC2 워커로 APK 180만·1TB+ 유출. 왜 중요한가: "AI가 공격 비용을 낮춘다"가 집계 가능한 숫자로 왔다. 에이전트 권한 경계·자격증명 노출·egress 통제를 다시 볼 근거. https://thehackernews.com/2026/09/anthropic-says-seven-china-based-ai.html ──────── ▣ Amodei 속도 조절 제안 · Altman 2026 IPO 부정 — 별개 사건 핵심: Amodei가 프론티어 페이스 조절을 제안. 같은 주 Altman은 안전 우려로 2026 IPO 부정을 시사하고 사내에서도 속도 조절 가능성을 언급(Bloomberg→Reuters). 구속력 있는 업계 합의는 없다. 왜 중요한가: "업계가 늦추기로 했다"는 요약은 틀리다. 같은 주 자본 집행은 반대로 감. 3번째 제안 항목(중국 공조 vs 칩 판매 제한)은 원문 간 충돌 — 인용 전 원문 대조. https://www.reuters.com/business/anthropic-ceo-urges-ai-companies-slow-model-development-2026-09-12/ ──────── ▣ Garry Tan — "미국 오픈웨이트 랩도 증류해야" 핵심: Anthropic 고발 직후 YC Garry Tan이 미국 오픈웨이트 진영도 프론티어 증류가 필요하다고 주장. 왜 중요한가: 같은 주에 "증류=탈취"와 "증류=전략"이 동시 출현. 법적 정의 없이 preserved thinking 같은 기술 방어가 규범보다 먼저 배치되는 중. https://techcrunch.com/2026/09/11/y-combinators-garry-tan-wants-u-s-open-weight-ai-labs-to-distill-frontier-models-too/ —— 클라우드·데이터센터·인프라 —— ──────── ▣ SpaceX 컴퓨트 리스 — 합산 연 411억 달러 핵심: Communacopia에서 신규 계약 연 133억(월 11.1억), 매출 인식 2026-12~. 고객 비공개. 기존 Anthropic·Google Cloud·Reflection과 합산 연 411억. 올해 네 번째 대형 AI 용량 계약. 왜 중요한가: 궤도·위성 컴퓨트가 실험이 아니라 가격표 있는 매출 라인. 지상 DC 전력·부지 제약의 대안 경로가 숫자로 열렸다. https://www.datacenterdynamics.com/en/news/spacex-signs-compute-contract-valued-at-133bn-annually/ ──────── ▣ Oracle FY2027 Q1 — OCI +121%, RPO $6,640억, capex $285억 핵심: 총매출 $193억(+30%), OCI $74억(+121%), RPO $6,640억, 분기 DC 850MW 추가, capex $285억(전년 $85억). GPU 약 30만 장 인도 보도(DCD). 왜 중요한가: RPO는 AI 수요가 계약으로 잠긴 가장 단단한 공시. 동시에 capex 3배+는 수익성 전환이 뒤로 밀린다는 뜻 — 둘을 같이 읽어야 한다. https://investor.oracle.com/investor-news/news-details/2026/Oracle-Announces-Q1-Results-Driven-by-Triple-Digit-Growth-in-Cloud-Infrastructure-Revenues/default.aspx ──────── ▣ Microsoft 2032년 38GW — Bloomberg 보도, 공식 확인 아님 핵심: 현재 ~12GW → 2032년 38GW 계획으로 보도. AI 전용은 현재 ~2GW에서 약 1/3까지. 자체+네오클라우드(CoreWeave·Nscale·Lambda 등) 병행. 왜 중요한가: 사실이면 Azure 용량 부족 완화 단서. 다만 Microsoft 미확인·인허가 변수 큼. "보도에 따르면"을 빼고 인용하면 오류. https://www.bloomberg.com/news/features/2026-09-10/microsoft-ai-focused-data-center-plan-to-add-26-gigawatts-of-compute ──────── ▣ UAE 5GW AI DC — 단일 캠퍼스에서 분산·방호로 재설계 핵심: 지역 공격 이후 아부다비 단일 캠퍼스 중심 계획을 다수 시설 분산으로 수정 검토. 지하화·방폭·방공까지 설계 요소로(Reuters). 왜 중요한가: AI 인프라 기준이 GPU·전력을 넘어 지정학·물리 복원력으로. DR에 "리전 소실" 시나리오를 넣을 공개 근거. https://www.reuters.com/world/middle-east/uae-revises-ai-data-center-plan-after-iranian-attacks-sources-say-2026-09-11/ —— 보안·규제 —— ──────── ▣ 🔴 EU CRA 의무 보고 — 어제(09-11)부터 법적 효력 핵심: EU 시장 디지털 요소 제품 제조사는 악용 중인 취약점·심각 사고를 ENISA SRP로 신고. CSIRT→ENISA→회원국 전파, 패치 전까지 비공개 원칙. OSS 스튜어드 의무는 2027-12-11~. 왜 중요한가: 담론이 아니라 어제부터의 법적 의무. 취약점 프로세스에 "EU 신고"를 넣고, 조기 공지 정책과 충돌 조항을 고쳐야 한다. https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched ──────── ▣ Revolut — 위조 정부기관 데이터 요청에 고객정보 유출 핵심: 정상 기관처럼 위장한 fake emergency data request에 응답해 권한 없는 제3자에게 민감 고객정보 제공(Reuters). 왜 중요한가: 시스템이 아니라 "적법 절차"가 뚫렸다. 이메일 도메인 신뢰 배제, out-of-band·서명/포털 검증·2인 승인이 법무·데이터 요청 경로에 필요. https://www.reuters.com/legal/litigation/revolut-confirms-sensitive-customer-data-breach-falling-fake-government-requests-2026-09-12/ ──────── ▣ LiteLLM 게이트웨이 — 노출 10곳 중 1곳이 예제 키 sk-1234 핵심: 기본 관리자 키를 그대로 둔 AI 게이트웨이에서 API 키·클라우드 접근 노출(The Hacker News). 왜 중요한가: LLM 게이트웨이는 자격증명 집중 지점인데 배포 위생이 못 따라감. 5분이면 확인되는 오늘 할 일. https://thehackernews.com/2026/09/nearly-1-in-10-exposed-litellm-gateways.html —— 취약점·해킹 —— ──────── ▣ 🔴 GitLab CVE-2026-85706 — CVSS 10.0, 내일(09-14) 마감 핵심: commits API 경로 탐색+인증 누락 → 무인증 임의 파일 읽기. 영향 18.7+ ~ 19.1.8/19.2.6/19.3.2 미만. CISA 09-11 KEV·BOD 26-04 포렌식 트리아지. "공개 프로젝트 1개+" 조건에 기대지 말 것. 왜 중요한가: 소스·CI 시크릿이 대상. 패치만으로 끝이 아니라 시크릿 전면 회전+침해 점검이 완료 조건. 오늘의 1순위. https://www.cisa.gov/news-events/alerts/2026/09/11/cisa-adds-one-known-exploited-vulnerability-catalog ──────── ▣ 🔴 JFrog Artifactory — KEV 체인, 공급망 직결 핵심: CVE-2026-42016(Incorrect Authorization)·CVE-2026-42018(Improper Authentication) 체인. 익명 토큰→관리자, 백도어 보고. CISA 09-11 KEV, 실제 악용 확인. 왜 중요한가: 아티팩트 장악=빌드 산출물 변조. GitLab(소스)+JFrog(아티팩트)가 같은 날 KEV에 오른 게 이번 주 구조. https://thehackernews.com/2026/09/attackers-chain-jfrog-artifactory-flaws.html ──────── ▣ 🔴 Cisco FMC — Qilin 랜섬웨어 연계, KEV 기한 경과 핵심: CVE-2026-20079(CVSS 10.0 인증 우회) 등. 3개 위협 클러스터 악용, Qilin 배포 확인. 연방 기한 09-12 이미 경과. 왜 중요한가: 방화벽 관리 평면이 뚫리면 뒤 네트워크 신뢰가 무너진다. 경계 장비 최우선. 패치+세션 무효화. https://thehackernews.com/2026/09/cisco-fmc-flaws-exploited-to-steal.html ──────── ▣ 🔴 Check Point VPN — CVSS 9.8×2, 패치 창이 열려 있음 핵심: CVE-2026-85102/85103 무인증 RCE. 공개 PoC·확인 악용 없음, 네덜란드 NCSC는 임박 경고. 09-09 LivePatch Take 24·Jumbo. 왜 중요한가: 경계 사전인증 RCE는 공개 후 수일 내 익스플로잇이 따라온다. 아직 악용 전인 지금이 여유 창. https://www.bleepingcomputer.com/news/security/dutch-ncsc-critical-check-point-vpn-flaws-exploitation-is-imminent/ ──────── ▣ PaperCut — AI 에이전트 수백 개로 440+ 인스턴스 침해 핵심: CVE-2026-81578/82078 실제 악용. 러시아어권 공격자가 AI 에이전트 수백 개로 익스플로잇 개발. 긴급 패치→정식 릴리스 대체. 왜 중요한가: "AI로 만든 공격"이 마케팅이 아니라 피해 규모로 남음. GTG-10007과 같은 비용 곡선. https://thehackernews.com/2026/09/papercut-attacker-uses-hundreds-of-ai.html ──────── ▣ Microsoft 9월 패치 — 약 970건, 악용 중 제로데이 2건 핵심: 매체별 966~974건(집계 차이, 오보 아님). 악용 중 CVE-2026-81963(Update 스택 권한 상승)·CVE-2026-85880(ALPC). MS는 건수 폭증 원인으로 AI 기반 발견 도입을 듦. 왜 중요한가: "역대 최악"이 아니라 발견 방식 변경. 실무는 악용 중 2건에 집중. https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2026-patch-tuesday-fixes-966-flaws-2-zero-days/ ──────── ▣ MikroTik RouterOS 2건 — KEV(09-10) 핵심: CVE-2026-67277(인증 누락)·CVE-2026-86060(명령 인자 인젝션). 악용 확인. 펌웨어 업그레이드+관리면·btest 인터넷 노출 차단. 왜 중요한가: 소규모·홈랩도 노출 여부부터. BOD 26-04 적용 대상. https://www.cisa.gov/news-events/alerts/2026/09/10/cisa-adds-two-known-exploited-vulnerabilities-catalog ──────── ▣ Kiro IDE · projen — 리포가 개발자 PC 설정을 바꾼다 핵심: Kiro CVE-2026-89332(<0.8.135) — 조작된 리포가 Powers registry를 바꿔 workspace 데이터 유출. projen CVE-2026-89065/89066 — 경로 탐색·명령 삽입, 0.103.0+ 후 tasks.json 재-synthesize 필수. 왜 중요한가: 코딩 에이전트가 설정을 쓸 수 있다는 것 자체가 공격면. 리포·생성 설정 파일을 신뢰 경계 안에 두지 말 것. https://aws.amazon.com/security/security-bulletins/2026-111-aws/ —— 개발자·엔터프라이즈 —— ──────── ▣ ⏰ GitHub Actions self-hosted — 내일부터 브라운아웃 핵심: 최소 버전 2.329.0. 09-14·16·18 구형 러너 등록·실행 차단, 09-25 전면. 최신 릴리스 후 30일 내 업데이트 필요(GitHub 공식). 왜 중요한가: 보안 이슈가 아니라 날짜 확정 운영 중단. fleet·AMI·bootstrap을 오늘 확인하지 않으면 내일 CI가 멈춘다. https://github.blog/changelog/2026-06-12-github-actions-minimum-version-enforcement-timeline-for-self-hosted-runners/ ──────── ▣ Microsoft — Rust를 사내 Tier 1 언어로 승격 핵심: Windows 메모리 안전 취약점 제거 목표로 사내 개발자에게 Rust를 1급 언어로 제공(The Register). 왜 중요한가: 실험을 넘어 조직 표준. ~970건 패치와 나란히 읽으면 메모리 안전 구멍을 언어 차원에서 끊겠다는 맥락. https://www.theregister.com/devops/2026/09/11/microsoft-annoints-rust-as-a-tier-1-internal-language/5295732 ──────── ▣ GitHub Copilot 지표 — VS Code Agents 세션 포함 핵심: Enterprise/Org 1일·28일 보고서에 Agents 창 활성 사용자·세션·메시지 추가. 왜 중요한가: AI 코딩 측정이 채팅 사용률에서 실제 에이전트 활동으로 이동. 도입 효과 보고 기준을 갈아야 한다. https://github.blog/changelog/2026-09-11-add-vs-code-agents-to-copilot-usage-metrics/ ──────── ▣ Reuters×CuttingRoom — MCP로 뉴스룸 AI 영상 편집 핵심: Reuters MCP 서버+ShortCut 연결. 자연어로 검색·컷·믹싱·색보정·자막·포맷. 뉴스룸이 상호작용·데이터·규칙을 자체 통제. 왜 중요한가: MCP가 개발 도구를 넘어 엔터프라이즈 콘텐츠·데이터 연결 계층으로. tool policy·데이터 소유권 분리 참고 사례. https://www.reuters.com/media-center/reuters-cuttingroom-partner-provide-newsrooms-with-ai-assisted-video-editing-2026-09-12/ 패치 창은 며칠이 아니라 몇 시간이다. 소스·아티팩트·러너부터 오늘 끝내자. #IT브리핑 #GitLab #JFrog #CISA #KEV #CheckPoint #Anthropic #SpaceX #Oracle #EUCRA #GitHubActions #PaperCut #보안패치
Post summary
The briefing warns that several high‑severity CVEs (e.g., GitLab CVE‑2026‑85706, JFrog Artifactory CVEs, Check Point VPN CVEs) are actively exploited in the wild, with KEV status and immediate patch recommendations outlined.
100401.5K
78 followersView on X
YourDailyCVE@YourDailyCVE37d
Active Exploitation
🚨 CVE-2026-86060 — MikroTik RouterOS, SSH privilege escalation (MikroTrick chain) What broke: CERT Polska’s MikroTrick is a two-bug chain. CVE-2026-67276 is an SSH auth bypass (incomplete RSA public-key check). This CVE, 86060, is the escalator: a crafted username can turn that session into full admin. Together, on a box with SSH reachable, that is device takeover without a valid password. 86060 is not a standalone internet worm — it needs an unauthenticated SSH session at the login helper. Who should care: RouterOS with SSH on the internet or another untrusted network, before 6.49.21 / 7.23.4 / 7.24.2 (or 7.25beta3). Default config blocks WAN SSH; the exposed fleet is the problem. Shadowserver saw 122,500+ MikroTik SSH listeners on 5 Sept — reachable SSH, not a vuln census. Status: exploited from at least 2 Sept, one day before MikroTik’s 3 Sept fixes and three days before the 5 Sept writeup. CISA put 86060 and related 67277 on KEV on 10 Sept (due 13 Sept). The entry-point CVE-2026-67276 is still not on KEV. Don’t treat “the two KEV IDs are patched” as the whole chain. Fix: 6.49.21 (v6 long-term), 7.23.4 (long-term), or 7.24.2 (stable). The build adds a startup Flagged check for known bad config. CERT is explicit: no Flagged warning is not a clean bill of health. If you can’t patch: pull SSH off the internet; manage over VPN. If SSH was ever public, hunt for “ops” and unknown admins before you call it done. Source: CERT Polska / MikroTik Sept 2026 advisory / CISA KEV #MikroTik #RouterOS
Post summary
CVE-2026-86060 is part of the MikroTrick SSH privilege-escalation chain, actively exploited since at least 2 Sept 2026, with CISA KEV listing and patches available in RouterOS 6.49.21 / 7.23.4 / 7.24.2.
10030185
37 followersView on X
Canadian Centre for Cyber Security@cybercentre_ca41d
Patch
#CyberAlert | AL26-020 - Vulnerabilities Impacting MikroTik RouterOS Organizations using MikroTik RouterOS should update affected devices immediately and review vendor guidance. https://www.cyber.gc.ca/en/alerts-advisories/al26-020-vulnerabilities-impacting-mikrotik-routeros-cve-2026-67276-cve-2026-67277-cve-2026-86060 https://t.co/hnCcR90DJi
Post summary
Cyber.gc advisory urges MikroTik RouterOS users to patch devices immediately to mitigate the listed CVEs (CVE-2026-67276, CVE-2026-67277, CVE-2026-86060).
01030791
34.0K followersView on X
VulnTracker@vuln_tracker42d
Active Exploitation
Worth noting this bug alone gets you in as the target user, but it's part of a two-CVE chain (paired with CVE-2026-86060) that CERT Polska calls MikroTrick, that's what turns it into full admin without credentials. Useful lab for understanding the auth bypass mechanism, just know the real-world attacks combine it with the privilege piece.
Post summary
The post describes a two‑CVE chain (including CVE‑2026‑86060) that gives auth bypass and admin escalation, and notes that real‑world attacks are combining it with a privilege elevation component.
11020256
816 followersView on X
SOCMinute@SOCMinute28d
Exploit
Critical MikroTrick exploit (CVE-2026-67279 & CVE-2026-86060) lets attackers fully control MikroTik routers without credentials. Patch immediately or isolate affected devices. Follow SOC Minute for updates. #MikroTik #Vulnerability #CERTPolska https://t.co/NwZHGLjjze
Post summary
The tweet describes a critical MikroTrick exploit for CVEs-2026-67279 and -2026-86060 that grants unauthenticated full control of MikroTik routers, urging immediate patching or isolation.
1002056
20 followersView on X
Alireza Naji@AlirezaNaji_32d
Disclosure
نقص اول (CVE-2026-67276) در فرایند تایید کلید عمومی RSA نهفته بود. در نقص دوم (CVE-2026-86060) نیز سرویس SSH در RouterOS نام کاربری دریافتی از کلاینت را بدون اعتبارسنجی کافی به یک برنامه کمکی خط فرمان می‌فرستاد. https://t.co/qtb4Fg5hKp
Post summary
The tweet announces two CVEs (CVE-2026-67276 and CVE-2026-86060) affecting RouterOS SSH, describing an RSA public key verification flaw and a username validation bypass, respectively, with no mention of active exploitation, PoC code, named exploits, or patches.
1002090
1.6K followersView on X
Threat Landscape@LandscapeThreat33d
Active Exploitation
Attackers exploited a two-vulnerability chain in internet-exposed MikroTik RouterOS devices to obtain unauthenticated administrative access. CVE-2026-67279 bypassed authentication through SSH rekeying, while CVE-2026-86060 converted attacker-controlled username input into a trusted administrative identity on vulnerable 7.x builds. Bishop Fox reproduced the takeover and found persistent unauthorized accounts, scripts, and daily scheduled tasks on compromised routers, despite volatile login logs having disappeared. Updates prevent further exploitation but do not remove existing access; defenders should inspect privileged users, configuration history, scripts, schedulers, and other persistence, then rebuild from a trusted baseline and rotate exposed secrets. Fixed releases include RouterOS 6.49.21, 7.23.4, and 7.24.2 or later, as applicable. More: http://threatlandscape.io
Post summary
The text reports confirmed active exploitation of a two-CVE chain in MikroTik RouterOS leading to unauthenticated administrative access and persistence on compromised devices, while providing specific fixed versions and detailed post-compromise remediation steps.
0003078
132 followersView on X
서버쟁이 놀이터@ueo0j35d
Active Exploitation
📊 9/17 통합 브리핑 연방 패치 기한이 줄줄이 도래·경과했다. 메일 게이트웨이·NAC·백업·RMM·가상화·방화벽 관리 — "보안을 위해 존재하는 장비"가 집중 표적이다. Cisco SEG는 오늘 마감, vCenter는 랜섬웨어 플래그까지 붙었다. —— 오늘 먼저 —— ① Cisco SEG CVE-2026-76461 — 연방 기한 오늘 메일 1통으로 미인증 root(SQL 인젝션). SEG·SEWM 가상·물리 모두, 설정 무관. Shadowserver 노출 400대+. 미패치는 침해 전제 + IOC 조사. ② VMware vCenter CVE-2026-59310 — 랜섬웨어·27일 경과 Syslog 디렉터리 트래버설→무인증 RCE. knownRansomwareCampaignUse: Known. 47개국 361+ IP 침해 흔적. 7월 패치 실적용 + 외부 노출 여부 확인. ③ ScreenConnect CVE-2026-84869 — 패치만으로 미완 26.6.5 업그레이드 + 호스트 클라이언트 재설치 + 액세스 에이전트 갱신. 8/20부터 웜형 전파. 기한 3일 경과 — IOC까지 한 묶음. —— AI —— ──────── ▣ Salesforce Koa·AIforce — 모델은 안으로, 인터페이스는 밖으로 핵심: Koa는 CRM 특화 추론 모델(NVIDIA Nemotron 3 Super 후속학습, 고객 데이터 미사용·합성 데이터만). AIforce는 앱을 열지 않고 데이터·권한·거버넌스에 접근(Claudeforce MCP 베타·Slackforce·Coworker). 미국 리전 정식은 2026 겨울. 왜 중요한가: 차별화 지점이 모델 성능이 아니라 데이터·권한·감사 계층. 사내 SaaS를 AI에 붙일 때 벤더 MCP의 권한·감사 범위를 먼저 확인. Koa "오류 3배"는 자체 벤치마크 — 독립 검증 없음. https://www.salesforce.com/news/press-releases/2026/09/15/koa-reasoning-model/ ──────── ▣ AI 감속 논쟁 — Dreamforce에서 젠슨 황과 공개 충돌 핵심: Amodei 감속 제안에 Altman·Musk 동조 → 9/14 반도체 지수 5.9%↓. Dreamforce에서 젠슨 황이 "AI 규제는 필요 없다, 안전은 우리에게" 발언. 보안주는 급등(SentinelOne ~16% 등). 왜 중요한가: 안전 담론이 가격에 직접 반영된 사례. 하루 등락을 추세로 읽으면 안 됨(유가·BofA 경고 겹침). 규제 대상 CEO 입장 표명이지 정책 변화가 아님. https://www.cnbc.com/2026/09/15/nvidia-and-anthropic-ceos-diverge-on-ai-safety-at-dreamforce.html ──────── ▣ Anthropic·OpenAI — 외부 안전 평가자 사내 상주 추진 핵심: 제3자 평가자를 프런티어 랩 내부에 두고 사고 보고·공개, 편집권은 기업이 갖지 않는 구조 제안. Meta·Google DeepMind·SpaceX AI는 미확약. METR·Apollo 등 논의 중. 왜 중요한가: CA SB 53·SB 813과 맞물린 자율 규제 단계. 체크포인트 접근·NDA로 "진짜 독립성" 논쟁 남음. 젠슨 황 발언과 정면 대비. https://techcrunch.com/2026/09/16/anthropic-and-openai-want-to-embed-safety-evaluators-will-they-really-be-independent/ ──────── ▣ 에이전트 권한 — Google Home 물리 제어·OpenAI 후원 에이전트 핵심: Google Home이 AI 에이전트의 스마트홈 직접 제어를 개방. OpenAI는 Sponsored Agents(라벨링된 후원 대화)와 Ads Manager 플러그인 테스트(HubSpot·Shopify). Anthropic은 챗·Cowork·Artifacts를 단일 창으로 통합. 왜 중요한가: 대화형 AI 수익이 배너에서 에이전트 대화 자체로 이동. 물리 기기·광고·어시스턴트 경계가 동시에 넓어짐 — 권한 위임·프롬프트 인젝션 피해 범위 확대. https://techcrunch.com/2026/09/16/your-ai-agents-can-now-control-your-google-home-devices/ —— 클라우드·데이터센터·인프라 —— ──────── ▣ 🔴 AWS 중동 리전 — 일부 자원 영구 복구 불가, 멀티 AZ 전제 붕괴 핵심: 바레인(me-south-1) 전체 접근·복구 불가. UAE(me-central-1) mec1-az2만 있던 데이터는 영구 접근 불가. 3~4월 물리적 시설 피해. AWS: "멀티AZ 설계 범위를 초과." 피해 DC 재개 없음. 왜 중요한가: 오늘 인프라 1순위. "멀티 AZ=안전" 가정의 실물 반례. 단일 리전 데이터 목록화·크로스리전 백업·주권 고정 워크로드 점검. 권고는 타 리전 마이그레이션. https://www.theregister.com/off-prem/2026/09/16/aws-says-wartime-damage-means-some-middle-east-cloud-resources-are-gone-for-good/5296830 ──────── ▣ Salesforce 글로벌 장애 — Dreamforce 중, "복구 완료"는 과함 핵심: 내부 로그인 서비스 응답 대기로 자원 고갈. 미·일·인도·영·프·독 등 수백 인스턴스, Hyperforce 특히 타격. 시작 약 07:50 UTC. 재검증 시점엔 완전 해소로 표시되지 않음(잔여를 Hyperforce 일부로 축소). 왜 중요한가: 인증 서비스 하나가 SaaS 전체 단일 실패 지점. 임계 경로면 10시간 대체 절차·Hyperforce 여부·상태 페이지를 직접 확인. 원본 "복구 완료"로 종결 금지. https://www.theregister.com/saas/2026/09/16/salesforce-staggers-back-to-feet-after-global-outage/5296800 ──────── ▣ AI 인프라 병목 — 칩→전기: AEMA 출범·Google 핀란드 원전 PPA 핵심: Emerald AI·Google·NVIDIA가 AEMA(AI Energy Management Alliance) 창립 — DC 전력 동적 조절·계통 접속 가속 목표. Google은 핀란드에 최소 €130억(Hamina 확장+신규 DC), Fortum Loviisa 원전 출력 최대 50%를 22년 구매. 왜 중요한가: 병목이 GPU에서 계통 접속으로 이동했음을 업계가 공식 인정. 원전 PPA가 하이퍼스케일 입지 요건. AEMA는 연합 결성이지 접속 성과는 아님. https://blogs.nvidia.com/blog/ai-energy-management-alliance/ —— 보안·규제 —— ──────── ▣ NIST·CISA — 토큰·어서션 위조·탈취 방어 권고 핵심: 하이브리드/멀티클라우드 SSO·페더레이션·API의 신원 어서션·액세스 토큰·암호 메커니즘 보호 구현 지침. Secure by Design, 연방·CSP 주 대상. 왜 중요한가: 최근 클라우드 침해의 상당수가 취약점보다 토큰 탈취·위조. 화제성은 낮지만 실제 침해 경로의 중심. SSO 조직은 설계 점검 기준으로 즉시 사용 가능. https://www.cisa.gov/resources-tools/resources/protecting-tokens-and-assertions-forgery-theft-and-misuse-implementation-recommendations-agencies ──────── ▣ CISA 사이버 디코이 가이드 — 침해 전제 탐지 핵심: 트립와이어·브레드크럼·허니토큰 등 기만 기술로 침해 후 활동 탐지. MITRE Engage·ATT&CK 매핑. LOTL·합법 자격증명 공격자 겨냥, 고신뢰 경보 수단으로 위치. 왜 중요한가: 경계 방어→침해 전제 내부 탐지를 규제기관이 문서로 지지. 관리 plane이 뚫리는 오늘 패턴과 같은 방향. 소규모 팀도 단계 도입 가능. https://www.cisa.gov/resources-tools/resources/using-cyber-decoys-strengthen-detection-and-response ──────── ▣ 스페인 데이터보호청 — 첫 "AI 기반 침해" 신고 접수 핵심: LLM 기반 AI 에이전트를 사용한 공격이 스페인 당국에 정식 신고. 규제기관 접수 첫 사례. 왜 중요한가: GDPR 침해 신고에 "AI 에이전트 사용"이 실제로 기록되기 시작. EU 대상 서비스는 침해 대응 문서·보고 양식 선점검. https://www.bleepingcomputer.com/news/security/spains-data-agency-gets-first-report-of-ai-powered-data-breach/ ──────── ▣ CISA BOD 26-04 — "모든 CVE 균등 패치"의 종료 핵심: KEV 추가 알림에서 BOD 26-04(위험 기반 보안 업데이트 우선순위) 재인용. 공개 노출 자산의 KEV 고위험 신속 조치·패치 전 침해 점검이 기대치. 민간에도 동일 우선순위 권고. 왜 중요한가: KEV·실악용 중심 운영이 연방 표준으로 고착. 상단 기한 대조표가 그 운영 모델의 실제 적용 형태. https://www.cisa.gov/news-events/alerts/2026/09/16/cisa-adds-one-known-exploited-vulnerability-catalog —— 취약점·해킹 —— ──────── ▣ 🔴 Cisco Secure Email Gateway CVE-2026-76461 — 오늘 마감 핵심: AsyncOS 메일 파싱 SQL 인젝션→하부 OS root 명령. 미인증·무상호작용. SEG·SEWM 설정 무관 취약. Cisco PSIRT가 9월 실악용 확인. KEV 기한 2026-09-17=오늘. 노출 400대+. 왜 중요한가: CVSS급 최상위·메일 1통·우회 없음·실악용·기한 오늘이 동시. 보유 여부→패치→미패치는 IOC까지. AsyncOS 최근 두 번째 제로데이. https://www.bleepingcomputer.com/news/security/new-cisco-secure-email-zero-day-exploited-to-execute-commands-as-root/ ──────── ▣ 🔴 VMware vCenter CVE-2026-59310 — 랜섬웨어 전환 확인 핵심: Syslog 디렉터리 트래버설→무인증 RCE. Broadcom 7/29 패치→KEV 8/18→기한 8/21(27일 경과). 카탈로그 knownRansomwareCampaignUse: Known. 47개국 361+ IP, 노출 vCenter 450대+. 왜 중요한가: "7월에 패치했다" 착각 조직이 오늘의 리스크. vCenter 장악=가상화 계층 일괄 암호화. 빌드 번호로 실적용+외부 노출 차단. https://www.bleepingcomputer.com/news/security/cisa-critical-vmware-vcenter-rce-flaw-now-exploited-by-ransomware-gangs/ ──────── ▣ 🔴 ScreenConnect CVE-2026-84869 — 웜형, 8/20부터 악용 핵심: 권한 검증 누락→활성 세션에서 Host 확인 없이 파일 전송·실행(CVSS 9.9). 수정 26.6.5 + 호스트 클라이언트 재설치 + 액세스 에이전트 갱신. 서버 자체는 비대상. 임시 완화: TransferFiles 비활성. KEV 기한 9/14 경과. 왜 중요한가: RMM 침해=관리 엔드포인트 즉시 확산. VBScript 4개로 지속성·웜 전파. 패치 여부와 무관하게 IOC 조사. https://www.connectwise.com/company/trust/security-bulletins/2026-09-08-screenconnect-bulletin ──────── ▣ 🟠 Google Pixel 모뎀 CVE-2026-58704 — KEV 기한 9/19 핵심: 셀룰러 모뎀 권한 우회/상승(CVSS ~8.0). 사용자 상호작용 불필요, 인접 네트워크+기본 권한. Google "제한적·표적 악용 가능성." 패치 레벨 2026-09-05 이상. 9월 Pixel 불레틴 110건. 왜 중요한가: 5개 원본이 모두 보고한 유일한 항목. 물리적 근접만으로 무선 공격 — 임원·고위험군 단말 우선. MDM/BYOD Pixel 패치 강제. https://www.bleepingcomputer.com/news/security/google-fixes-actively-exploited-android-zero-day-on-pixel-devices/ ──────── ▣ 🟠 Cisco ISE·Acronis Backup — KEV 기한 9/19 핵심: CVE-2026-76460(ISE 권한 API 오사용), CVE-2026-87886(Acronis 부적절한 기본 권한). 둘 다 실악용·KEV 등재 9/16. Acronis cPanel 플러그인 권한 상승도 실악용 정황. 왜 중요한가: NAC·백업이 동시에 표적. ISE 장악=횡적 이동, 백업은 랜섬 1순위. vCenter와 묶어 관리 plane 일괄 점검. https://www.cisa.gov/news-events/alerts/2026/09/16/cisa-adds-two-known-exploited-vulnerabilities-catalog ──────── ▣ 🟠 Check Point VPN CVE-2026-85102/85103 — "임박", KEV 미등재 핵심: 둘 다 CVSS 9.8. 인증서 신뢰 검증 미비·ASN.1 힙 오버플로→RCE. Gateway+Management Server 영향. 공개 PoC·확인된 실악용 없음·KEV 없음. 네덜란드 NCSC "곧 시도 예상." LivePatch Take 24 등. 왜 중요한가: 인터넷 노출 VPN은 초기 침투 1순위 — 패치 창이 짧음. 단 "악용 중"으로 보고하면 과장. LivePatch 활성화 여부를 직접 확인. https://support.checkpoint.com/results/sk/sk1000117 ──────── ▣ Microsoft 9월 패치 — 기준값 974건, 0-day 2건·KB5124008 회귀 핵심: 집계 기준 차이로 966~997(기준값 974, Tenable 964는 MS 자체 CVE만). 실악용 0-day CVE-2026-85880(ALPC)·CVE-2026-81963(Update Stack), KEV 기한 9/22. KB5124008 적용 후 일부 도메인 trust/secure channel 장애 보고. 왜 중요한가: 역사상 최대 규모. 패치와 회귀를 같이 봐야 함. Critical·외부노출(DNS·Kerberos 등) 우선. 건수 단정 인용 금지. https://www.securityweek.com/microsoft-patches-record-974-vulnerabilities-including-two-exploited-zero-days/ ──────── ▣ 🔴 브라우저 확장 하나로 AI 어시스턴트 장악 핵심: webpage modification+declarativeNetRequest 권한만으로 신뢰된 AI 페이지에 코드 주입(Chrome Gemini Live·Perplexity Comet·Edge·Opera Neon·Claude in Chrome). Chrome 143.0.7499.192·Edge 150.0.4078.48 패치. Comet·Neon·Claude 확장은 패치 시점 비공개. 실악용 보고 없음(연구 단계). 왜 중요한가: 확장 설치 정책=AI 에이전트 보안 경계. 허용목록 운영. Chrome을 올릴 때 V8 KEV(CVE-2026-85046 내일 마감·CVE-2026-87491)도 함께. https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html ──────── ▣ 🟠 Shai-Hulud — AI 코딩 세션이 공급망 침투 경로로 실증 핵심: AI 코딩 어시스턴트 세션 탈취→오염 PyPI→GitHub OAuth→내부 레포 ~100개에 웜 배포→사내 네임스페이스 신뢰로 2차 감염(Mandiant). Artifactory CVE-2026-42016/42018(기한 9/25)과 겹치면 빌드 산출물 오염 경로가 양쪽에서 열림. 왜 중요한가: 신규 위협 카테고리. AI 추천 의존성 체크섬·허용목록, OAuth 격리, 내부 프록시 경유, 사내 네임스페이스도 신뢰 경계로 취급. https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html ──────── ▣ 🔴 기한 경과 KEV — MikroTik·GitLab·Cisco FMC 핵심: RouterOS CVE-2026-86060/67277(기한 9/13, MikroTrick 무인증 장악). GitLab CVE-2026-85706(기한 9/14). Cisco Secure FMC CVE-2026-20079(기한 9/12). 뒤 2건은 모델 원본 5건 모두 누락 — KEV 카탈로그 대조에서만 발견. 왜 중요한가: 소스·CI 자격증명(GitLab)·방화벽 관리 plane(FMC)·경계 라우터. 기한 경과=침해 전제 조회. 다중 모델 취합이 1차 카탈로그를 대체하지 못함. https://www.cisa.gov/known-exploited-vulnerabilities-catalog —— 개발자·엔터프라이즈 —— ──────── ▣ Java 27 — Compact Object Headers 기본 ON (non-LTS) 핵심: 객체 헤더 96→64비트, SPECjbb2015 기준 힙 22%·CPU 8% 절감. GC 기본 G1(작은 컨테이너도 Serial→G1). TLS 1.3에 ML-KEM 하이브리드(JEP 527). 출시 2026-09-15. 왜 중요한가: 튜닝 없이 메모리 절감. non-LTS라 검증용. 메모리 빡빡한 워크로드는 G1 전환 벤치 필수. https://openjdk.org/jeps/534 ──────── ▣ Homebrew 7.0.0 — brew vulns·샌드박스 강화 핵심: brew vulns+OSV 연동 advisory DB. 홈 디렉터리 기본 차단, 네트워크 다운로드·오프라인 설치 분리. Intel Mac은 Tier 3 강등, macOS 10.15 지원 종료. 왜 중요한가: 패키지 매니저가 SBOM/취약점 가시성 내재화 — Shai-Hulud류 공급망 대응 실무 도구. CI에서 샌드박스·Intel 러너 영향 먼저 검증. https://brew.sh/2026/09/13/homebrew-7.0.0/ ──────── ▣ Kubernetes v1.37 — Memory QoS·Pod Resource Managers 기본 ON 핵심: Pod-Level Resource Managers·Memory QoS가 Beta로 기본 활성화. CSI Changed Block Tracking API Beta. Bind Mount/EmptyDir 권한으로 컨테이너 저장소 하드닝. 왜 중요한가: 옵트인이 아니라 기본값 변경. 업그레이드 순간 메모리 회수 동작이 바뀔 수 있음. Acronis KEV와 묶어 백업 스택 점검. https://kubernetes.io/blog/2026/09/14/kubernetes-v1-37-memory-qos-graduates-to-beta/ ──────── ▣ GitHub — Copilot 예산을 FinOps·IAM 문제로 재정의 핵심: Copilot 예산 증액 요청 GA(관리자 승인·조정). Code Scanning AI Scan이 CodeQL default setup 없이도 PR에서 사용 가능. classic PAT/SSH의 조직별 SSO authorization 자동화. 왜 중요한가: AI 개발도구가 "허용 여부"에서 사용자별 예산 정책으로 이동. AI Scan은 CodeQL 미도입 레포에 즉시 적용. 토큰 보호 권고와 같은 축. https://github.blog/changelog/2026-09-16-copilot-budget-increase-requests-are-generally-available/ 기한이 산 것은 Chrome V8(내일)·Pixel·ISE·Acronis(9/19)·Windows 0-day(9/22)·Artifactory(9/25)뿐이고, SEG는 오늘·ScreenConnect·MikroTik·GitLab·FMC·vCenter는 이미 지났다. 관리 plane부터 열어라. #IT브리핑 #Cisco #CISA #KEV #VMware #ScreenConnect #AWS #Salesforce #CheckPoint #Microsoft #Pixel #Artifactory #Homebrew #Kubernetes #AI에이전트
Post summary
The briefing highlights a range of CVEs—many with confirmed active exploitation, technical details, and patch guidance—while noting a publicly available PoC for a Check Point VPN flaw and upcoming deadline pressures for several critical vulnerabilities.
000302.0K
79 followersView on X
DFIR Radar@DFIR_Radar45d
Active Exploitation
MikroTik RouterOS zero-day chain "MikroTrick" under active exploitation since Sept 2, combining SSH auth bypass (CVE-2026-67276, CVSS 9.2) and privilege escalation to deliver unauthenticated full admin access. Key findings: - CVE-2026-67276 abuses a flaw in RSA public key verification: an attacker knowing a valid username and the public key can forge authentication without the private key. Chained with CVE-2026-86060 (privilege escalation), the result is root-level access with no credentials required on any internet-exposed RouterOS device with SSH open. - Exploitation began Sept 2, one day before MikroTik shipped patches on Sept 3, confirming this was a zero-day. Attacks originated from 82.192.72[.]4 (Leaseweb) serving a BusyBox MIPS binary plus http://ftpsrv.py, http://launch.sh, and http://serve.py. A second IP, 103.102.31[.]18, is also linked. Three of four files had zero VirusTotal detections at time of writing. - Detection artifacts: failed exploit attempts log the username -2, which is invalid and should never appear. Successful compromise shows ssh:-2@IP in /system history, followed by user creation ("ops" account confirmed), SSH key addition, firewall changes, or proxy/tunnel setup. - Patch to 7.24.2, 7.23.5, or 6.49.21 immediately. Devices behind MikroTik's default firewall with SSH not exposed are likely safe, but any device with SSH reachable from untrusted networks must be treated as compromised until inspected. Grep /system history for ssh:-2 entries now. #DFIR_Radar
Post summary
The post describes a zero‑day chain exploited since early September, providing exploit code references, detailed technical flaws, and patch guidance, confirming active exploitation in the wild.
10002459
1.9K followersView on X

CPE platform detail1 entries

Part:

Vendor:

Product:

Version:

Target SW:

Target HW:

1 of 1 entries

Part	Vendor	Product	Version	Target SW	Target HW
OS	mikrotik	routeros	-	-	-

Explore more

Back to dashboard mikrotik CVEs routeros vulnerabilities

What researchers are saying

CVE-2026-86060

!Manan[verified]@0xMananActive Exploitation

The post asserts CVE-2026-67279 and CVE-2026-86060 (MikroTrick) are fresh on CISA KEV and provides a public GitHub PoC alongside detailed SSH authentication bypass mechanics. It also specifies patched RouterOS versions (7.23.4, 7.24.2, 6.49.21) for remediation.

YogSotho[verified]@YogSoth0Exploit

The post advertises a weaponized MikroTik RouterOS exploitation framework with a public download link for multiple CVEs, but it lacks evidence of active attacks, patches, or technical details about the vulnerabilities.

Tolmo[verified]@TolmoHQPoC

The post reports that the author rewrote a pre‑authentication RCE chain for MikroTrik, referencing three CVEs and providing a link (likely containing the PoC), but does not detail exploit code or active attacks.

GovCERT.CZ[verified]@GOVCERT_CZActive Exploitation

The text announces that CVE‑2026‑67277, CVE‑2026‑86060, and CVE‑2026‑67276 are actively exploited in MikroTik RouterOS devices via SSH, and urges users to patch, reconfigure, and limit SSH access.

DMNTR Network Solutions 👻 AS204773[verified]@weareDMNTRsDisclosure

The text lists several 2026 CVEs with concise technical descriptions but contains no evidence of active exploitation, exploit code, or patch information.

Dark Web Intelligence[verified]@DailyDarkWebActive Exploitation

The post reports active exploitation of the MikroTik MikroTrick SSH takeover chain (CVE-2026-67279 and CVE-2026-86060) with evidence of attacks prior to patch release, advising immediate patching and hunting for indicators.

Rıdvan Yağlı[verified]@ridvanyagliActive Exploitation

This tweet announces the MicroTrick PoC for CVE-2026-86060 and CVE-2026-67279 affecting MikroTik RouterOS, citing CERT Polska that the vulnerability chain is actively exploited in the wild while listing fixed versions.

VulnTracker[verified]@vuln_trackerActive Exploitation

Two MikroTik RouterOS flaws enable full administrative control; active exploitation confirmed by CISA, detailed technical breakdown provided, and patches are now available.