Une requête HTTP suffit pour devenir root sur les routeurs MikroTik en version 7.23
CVE-2026-84411, noté CVSS 9,8, est un underflow d’entier dans le service d’administration web de RouterOS, exploitable avant authentification par une seule requête forgée pour exécuter du code en root. Tout routeur MikroTik dont l’interface web est joignable depuis Internet doit passer en 7.24 ou retirer cette interface du réseau.
29 septembre 2026. La CISA publie l’avis ICSA-26-272-06 sur CVE-2026-84411, une faille critique dans RouterOS de MikroTik. 29 septembre 2026. La vulnérabilité, notée CVSS 9,8, est un integer underflow dans le traitement du corps des requêtes HTTP du service d’administration web, atteignable avant authentification. 29 septembre 2026. MikroTik confirme que toutes les versions antérieures à 7.24 — y compris la branche RouterOS v6 — sont touchées dès lors que l’interface web est joignable par l’attaquant. Pourquoi c’est important : une seule requête forgée suffit à exécuter du code root sur un routeur, et les routeurs MikroTik sont massivement exposés sur Internet.
Un underflow atteignable avant même de se connecter
La mécanique de CVE-2026-84411 tient en une ligne, mais elle est lourde de conséquences. Le service de gestion web de RouterOS contient un underflow d’entier (integer underflow, CWE-191) dans le traitement du corps des requêtes HTTP. Parce que ce défaut est atteignable avant l’authentification, un attaquant sur le réseau — sans compte, sans session, sans interaction utilisateur — peut envoyer une seule requête pour obtenir l’exécution de code arbitraire avec les droits root, ou déclencher un déni de service.
Le vecteur CVSS 3.1 ne laisse aucune ambiguïté : AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Réseau, faible complexité, aucun privilège requis, aucune interaction, impact confidentialité-intégrité-disponibilité complet. C’est la définition d’un 9,8. La déclinaison CVSS 4.0, à 9,3, confirme le caractère critique.
Le périmètre concerné est large par construction. RouterOS équipe les routeurs et points d’accès MikroTik — des appareils bon marché, populaires chez les FAI, les intégrateurs, les réseaux d’entreprise et les particuliers. L’avis couvre tout RouterOS < 7.24, y compris les déploiements historiques en v6 qui ne recevront pas de correctif équivalent. La faille a été signalée à la CISA par un chercheur anonyme, et l’agence précise qu’aucune exploitation publique ciblée ne lui a été rapportée à ce jour — un sursis qui ne durera pas.
La surface d’administration, pas le protocole de routage
Le point crucial de cet avis est la localisation de la faille. Ce n’est pas le cœur de routage qui est touché, ni BGP, OSPF ou MPLS — c’est le service d’administration web, cette interface HTTP/HTTPS qui sert de console de configuration. Or cette interface est précisément ce que beaucoup d’administrateurs laissent joignable depuis Internet pour piloter leurs routeurs à distance.
C’est un classique des campagnes qui visent MikroTik. Depuis des années, les scanners automatisés cherchent les routeurs dont la console web répond sur le port 80 ou 443, et les appareils mal configurés se comptent par dizaines de milliers. CVE-2026-84411 déplace le risque d’un cran : il ne s’agit plus d’identifier des comptes faibles à force brute, mais d’obtenir root sans la moindre authentification, sur un équipement qui porte l’intégralité du trafic d’un site.
La recommandation de CISA suit la même logique que pour les ICS : minimiser l’exposition réseau, placer les équipements derrière un pare-feu et les isoler du réseau d’entreprise. Mais la parade la plus directe, celle de MikroTik, est simple à énoncer et parfois lourde à appliquer en production : passer en 7.24 ou plus récent, ou rendre l’interface web injoignable depuis l’extérieur.
Mettre à jour, puis verrouiller l’accès
La mise à jour d’un routeur MikroTik se fait en une commande, à condition de disposer de la console. Pour un appareil en v7, la remontée vers la branche corrigée s’effectue ainsi :
# Vérifier la version courante, puis monter vers la branche corrigée (>= 7.24)
/system package update check-for-updates
/system package update installLe redémarrage qui suit est inévitable et doit être planifié : sur un routeur de bordure, la coupure emporte la connectivité du site le temps du reboot. Pour les parcs en v6, la migration vers v7 n’est pas un simple upgrade de package — elle change le format de configuration et demande un plan de bascule dédié, ce qui explique pourquoi tant d’appareils restent en v6 et donc exposés.
La mise à jour seule ne suffit pas. MikroTik rappelle dans son avis que la faille ne se déclenche que si l’interface web est atteignable par l’attaquant. La bonne pratique consiste à désactiver le service web (www et www-ssl) sur les interfaces exposées, ou à le restreindre à une liste d’adresses autorisées, et à ne plus jamais exposer la console d’administration directement sur Internet. En d’autres termes : patcher ferme la porte, mais ne plus exposer la porte du tout reste la vraie défense.
Pourquoi tant de routeurs restent exposés
La persistance du parc v6 n’est pas un détail technique, c’est le cœur du risque. RouterOS v6 ne reçoit plus de correctif équivalent, et la migration vers v7 n’est pas un simple upgrade de package : le format de configuration change, certaines fonctionnalités de scripts ou de files d’attente se réécrivent, et la bascule doit se faire sur un appareil de bordure sans couper la connectivité du site. Résultat : des milliers de routeurs MikroTik tournent encore en v6, souvent chez des opérateurs ou des intégrateurs qui gèrent des parcs entiers sans budget de migration.
Cette réalité est aggravée par la nature même de l’appareil. Un routeur MikroTik est pensé pour être administré finement — c’est sa force — mais cette finesse invite à laisser l’interface web joignable « au cas où », parfois sur le port 80, parfois en HTTPS auto-signé. Les moteurs de recherche spécialisés comme Shodan ou Censys indexent ces consoles par dizaines de milliers, et les campagnes qui ciblent MikroTik n’ont pas besoin de chercher loin : elles interrogent ces moteurs, testent la version, et envoient l’exploit.
La leçon opérationnelle est simple à formuler. CVE-2026-84411 ne se déclenche que si l’interface web est joignable. Un administrateur qui a désactivé www et www-ssl sur l’interface publique, ou qui a restreint l’accès à une liste d’adresses de gestion, est hors de portée même s’il n’a pas encore patché. En revanche, un routeur qui expose sa console sur Internet doit être traité comme déjà compromis le temps d’appliquer la mise à jour — la faille ne demande qu’une requête, et le premier à la formuler gagne.
Verdict
Si vous administrez des routeurs MikroTik en v7, planifiez sans tarder la montée vers 7.24 ou plus récent — un CVSS 9,8 atteignable sans authentification ne laisse aucune marge de triage, et la fenêtre entre l’avis public et la première exploitation active se mesure en jours, pas en semaines. Si votre parc tourne encore en RouterOS v6, traitez la migration vers v7 comme un projet d’infrastructure à part entière, et en attendant, coupez immédiatement l’accès web à ces appareils depuis Internet. Et dans tous les cas, auditez ce qui reste exposé : un routeur dont l’interface d’administration répond depuis l’extérieur est une faille qui attend son exploit, quel que soit le fournisseur.