ASUS corrige deux failles qui transforment un profil VPN en exécution de commandes

1er octobre 2026. ASUS publie CVE-2026-14157 et CVE-2026-13313, deux failles de l’interface d’administration web de ses routeurs, avec le firmware corrigé disponible le jour même. 1er octobre 2026. La CISA enrichit les deux entrées : exploitation « nulle », automatisation « non », impact technique « total ». 2024. Une faille de même nature, CVE-2024-0401, frappait déjà la même fonction d’import de profil VPN. Pourquoi c’est important : les deux failles transforment le routeur — l’appareil auquel tout le reste du réseau fait confiance — en point d’exécution de commandes, jusqu’au niveau root.

Un profil VPN empoisonné

CVE-2026-14157 est notée CVSS 9.4, critique. C’est une faille de format string (CWE-134) : du texte qui devrait être traité comme une simple donnée est interprété comme une instruction de formatage par le code du routeur.

Le vecteur est concret. Beaucoup de routeurs ASUS savent jouer le rôle de client VPN, de sorte que tous les appareils du réseau — téléviseurs, consoles, imprimantes — passent leur trafic par un fournisseur VPN. Pour cela, on télécharge un fichier de configuration, généralement un profil OpenVPN en .ovpn, puis on l’importe via la page d’administration. Sur les firmware récents, cette fonction s’appelle VPN Fusion.

La faille se loge exactement là : dans la lecture de ce fichier importé. Un fichier .ovpn soigneusement construit peut exploiter la format string pour déclencher l’exécution de commandes arbitraires sur le routeur. Deux précisions bornent le périmètre : la faille concerne les profils importés dans le routeur lui-même, pas les apps VPN d’un portable ou d’un téléphone ; et l’import passe par une session admin authentifiée. L’attaquant doit donc déjà détenir le mot de passe admin — ou convaincre quelqu’un qui le détient d’importer son fichier.

Une porte Telnet oubliée

CVE-2026-13313 est notée CVSS 8.9, élevée. C’est une erreur d’une autre nature, classée CWE-489, du code de debug actif. Une fonctionnalité destinée au développement est restée atteignable dans le firmware de production.

Concrètement, un attaquant authentifié peut envoyer une requête HTTP fabriquée à l’interface d’administration qui contourne les contrôles de sécurité et active Telnet — ce vieux protocole d’accès distant, non chiffré — puis l’utiliser pour exécuter des commandes avec les privilèges root. Le CVE précise que cela peut s’étendre aux autres appareils connectés au routeur.

Un root sur un routeur, c’est le contrôle total : modifier les réglages DNS pour rediriger le trafic, capturer des données en clair, installer un malware persistant, ou se servir du routeur comme point de rebond vers le réseau interne. Cette faille remonte aussi plus loin que la première : elle touche deux séries de firmware plus anciennes en plus de la série courante.

Deux scores élevés malgré l’exigence d’authentification, car les deux vecteurs notent l’impact comme élevé non seulement sur le routeur, mais sur les systèmes qui y sont connectés. C’est là le vrai enjeu : le routeur est rarement la cible, il est le chemin.

Pourquoi « authentification requise » ne rassure pas

Ce serait une erreur de lire « accès admin requis » comme « risque faible ». Les mots de passe d’admin de routeur sont souvent faibles, laissés par défaut, réutilisés ou partagés entre collègues. Certaines organisations exposent la page d’admin sur Internet par commodité. Un routeur déjà compromis par le passé peut avoir laissé à un attaquant des identifiants encore valides. Et la faille VPN n’exige qu’un seul administrateur convaincu d’importer un seul fichier. N’importe lequel de ces cas transforme un bug post-authentification en bug pratique.

ASUS ne liste d’ailleurs pas les modèles affectés par nom : l’avis identifie les appareils par série de firmware. La série 3.0.0.4_386 et la 3.0.0.4_388 élargissent considérablement le parc concerné par CVE-2026-13313, bien au-delà du matériel récent. Et ASUS a prévenu que les routeurs en fin de vie ne recevront pas de correctif : pour eux, la réponse durable est le remplacement.

Des routeurs déjà visés par milliers

L’historique interdit tout confort. CVE-2024-0401, divulguée par VulnCheck en 2024, était une injection de commandes déclenchée par exactement le même point d’entrée : un profil OpenVPN fabriqué importé via la page d’admin. Deux bugs distincts dans le même chemin d’import en l’espace d’environ deux ans : le code derrière cette fonction mérite une surveillance continue.

La campagne AyySSHush, découverte en 2025, a combiné contournements d’authentification, force brute et une injection de commandes (CVE-2023-39780) pour backdoorer plus de 9 000 routeurs ASUS, avec une persistance qui survivait aux mises à jour de firmware. Une opération d’espionnage attribuée à la Chine a par ailleurs détourné plus de 50 000 routeurs ASUS grand public l’an dernier, en exploitant des bugs connus sur des appareils anciens et non supportés, pour en faire un réseau de dissimulation d’origine.

Le cas AyySSHush est le plus instructif : des logins forcés au force brute plus une injection de commandes authentifiée, c’est précisément la combinaison dans laquelle ces deux nouveaux CVE s’inséreraient. La publication est le moment où le chronomètre démarre, pas celui où il s’arrête.

Ce qu’il faut faire maintenant

D’abord, trouvez les routeurs ASUS dont vous dépendez : sur les sites, dans les agences, et, quand la politique le permet, au domicile des collaborateurs en télétravail. Relevez le modèle et la version de firmware affichée sur la page d’admin. Un routeur absent de l’inventaire n’est patché par personne.

Ensuite, mettez à jour le firmware vers la dernière version de chaque modèle. Vérifiez la série de firmware contre la section « Security Update for ASUS Router Firmware » de l’avis ASUS. Pour les routeurs en fin de vie, la consigne est claire : remplacez-les.

Enfin, durcissez l’existant. Désactivez l’accès admin côté WAN et limitez l’interface d’administration à un réseau de confiance. Vérifiez que Telnet est désactivé. Imposez un mot de passe admin unique et robuste, et n’importez des profils VPN que depuis le fournisseur lui-même. Si un routeur montre des signes de compromission — Telnet inattendu sur le port TCP 23, profils VPN inconnus, réglages DNS ou de transfert modifiés, connexions admin inhabituelles — ne vous contentez pas de le mettre à jour : déconnectez-le, réinitialisez-le en usine, installez le dernier firmware et reconfigurez-le à la main, sans restaurer une sauvegarde.

Verdict

Aucune des deux failles n’est exotique. Une format string et du code de debug laissé en production sont des erreurs connues et documentées, toutes deux logées dans la partie du routeur la plus exposée à ses utilisateurs : la page d’admin qui parse les fichiers et les requêtes de quiconque est connecté. Que ce même chemin d’import VPN ait déjà produit un bug sérieux en 2024 rappelle que les fonctions qui analysent des fichiers fournis par l’utilisateur sont là où les routeurs continuent de casser.

Si des routeurs ASUS portent ne serait-ce qu’une partie de votre trafic professionnel, mettez à jour le firmware dès cette semaine, retirez l’admin de l’accès WAN et coupez Telnet — c’est un correctif de routine tant qu’il n’est pas un incident. Si certains appareils sont en fin de vie, remplacez-les plutôt que de leur faire confiance. La leçon de fond n’est pas propre à ASUS : un routeur que personne ne possède, ne surveille ni ne met à jour est une porte d’entrée qui ne demande qu’à être utilisée.

Références

• InsomniSec — ASUS Router Flaws (CVE-2026-14157 and CVE-2026-13313): A Poisoned VPN File and a Forgotten Debug Switch (5 octobre 2026)
• ThreatCluster — Asus Patches Critical Router Vulnerabilities Affecting VPN
• WindowsForum — Asus Router CVE-2026-14157 and CVE-2026-13313
• SentinelOne — CVE-2026-14157
• OpenCVE — CVE-2026-14157