Bugs des routeurs MikroTik « MikroTrick » : deux sont listés dans le KEV, un ne l'est pas

MikroTik a livré des correctifs pour trois vulnérabilités RouterOS le 3 septembre 2026, après avoir constaté que des attaquants avaient déjà commencé à les exploiter la veille. Deux des trois — CVE-2026-86060 et CVE-2026-67277 — figurent dans le catalogue Known Exploited Vulnerabilities de la CISA, ajoutés le 10 septembre avec une date limite de correction au 13 septembre qui est passée. La troisième, CVE-2026-67276, constitue le point d'entrée de la chaîne d'attaque que les chercheurs nomment MikroTrick, mais à l'heure où nous écrivons ces lignes elle n'a pas encore été ajoutée au catalogue KEV, bien que le Centre canadien pour la cybersécurité et CERT Polska la signalent toutes deux comme activement exploitée.

Comment fonctionne la chaîne MikroTrick

CVE-2026-67276 (CVSS 9.2) est une faille de contournement d'authentification SSH : une validation incomplète des clés publiques RSA permet à un attaquant qui connaît un nom d'utilisateur et le module public de la clé de cet utilisateur de forger une clé différente et de se connecter sans la vraie clé privée. CERT Polska a nommé la chaîne en deux étapes « MikroTrick » car ce contournement se combine avec CVE-2026-86060 (CVSS 9.2), un bug d'élévation de privilèges déclenché par un nom d'utilisateur SSH spécialement conçu, pour donner à l'attaquant un contrôle administratif complet. La troisième faille, CVE-2026-67277 (CVSS 8.8), est un problème distinct et non authentifié dans le service de test de bande passante de RouterOS qui peut divulguer de la mémoire noyau ou faire planter l'appareil — un risque de déni de service plutôt qu'un chemin vers un accès admin, mais accessible sans identifiants.

Échelle

La Shadowserver Foundation a dénombré plus de 122 500 instances SSH RouterOS exposées sur Internet lors d'un seul scan début septembre — une population importante d'appareils accessibles par conception, puisque RouterOS équipe couramment les périphériques de bordure et de passerelle des FAI et des petites entreprises.

Que faire

• Mettre à jour vers RouterOS 7.25beta3, 7.24.2 (Stable), 7.23.4 ou ultérieur sur la branche Long-Term, ou 6.49.21 sur la branche Legacy Long-Term — MikroTik a ensuite livré 7.23.5 après qu'une régression DHCP IPv6 soit apparue dans 7.23.4, donc utiliser la dernière version de maintenance de cette branche plutôt que de s'arrêter à 7.23.4.
• Garder SSH désactivé sur les réseaux non fiables quel que soit l'état des correctifs.
• Après la mise à jour, vérifier l'indicateur d'état « Flagged » de RouterOS, ainsi que les journaux pour détecter des utilisateurs, scripts ou modifications de configuration inconnus.
• Traiter tout appareil qui était accessible depuis Internet avant le correctif comme un candidat à la préservation des preuves avant isolation ou réinitialisation d'usine.

Sources : MikroTik September 2026 security bulletin, Canadian Centre for Cyber Security AL26-020.