Deux failles MikroTik RouterOS s’enchaînent en exécution de code sans authentification
Le 10 septembre 2026, CISA inscrit deux failles MikroTik RouterOS — une authentification absente et une injection de commandes — au catalogue KEV après exploitation active. L’enchaînement ouvre une exécution de code à distance sans identifiants, et l’échéance de remédiation fédérale tombe le 13 septembre.
10 septembre 2026. La CISA ajoute deux vulnérabilités MikroTik RouterOS au catalogue KEV des failles activement exploitées. La première, CVE-2026-67277, est une absence d’authentification sur une fonction critique (CWE-306) — un client non authentifié peut atteindre le service btest avant la fin de l’authentification de la session primaire, ouvrant la voie à une divulgation de mémoire noyau et à un possible redémarrage du système. La seconde, CVE-2026-86060, est une neutralisation incorrecte des délimiteurs d’arguments (CWE-88), autrement dit une injection de commandes. Ensemble, elles forment la chaîne que tout exploitant de botnet recherche : une exécution de code à distance sans identifiants sur un routeur de bordure.
La fenêtre est déjà ouverte. MikroTik publie des correctifs — RouterOS 6.49.21, 7.23.4 et 7.24.2 — mais la directive fédérale BOD 26-04 impose aux agences américaines de remédier avant le 13 septembre 2026, l’échéance KEV du jour. Pour une organisation privée, c’est le même SLA de fait : l’exploitation active signifie que le compteur de temps de résidence a commencé avant même que vous ne lisiez ces lignes.
Deux failles, une chaîne d’exécution de code
RouterOS équipe aussi bien les boîtiers RouterBOARD que les appliances virtuelles CHR et les installations x86. Sa surface d’exposition est large, car plusieurs services sont couramment joignables depuis des réseaux non fiables : l’interface web WebFig (TCP 80/443), Winbox (TCP 8291), l’API (TCP 8728/8729), SSH (TCP 22) et FTP (TCP 21).
CVE-2026-67277 est le demi-accès : un composant expose une fonction critique sans en vérifier l’authentification. Concrètement, le service btest accepte une connexion « liée » avant que la session primaire ait terminé son authentification — une fenêtre qui laisse un attaquant atteindre une fonctionnalité privilégiée sans identifiants. CVE-2026-86060 est le demi-payload : RouterOS ne neutralise pas correctement les délimiteurs d’arguments avant de passer l’entrée utilisateur à un contexte d’exécution de commande. En injectant un délimiteur, l’attaquant sort du périmètre de l’argument prévu et ajoute ses propres commandes.
La chaîne d’attaque probable est mécanique : balayage des services RouterOS exposés (l’empreinte se lit sur la bannière, le certificat TLS ou les signatures HTTP), passage par CVE-2026-67277 pour atteindre la fonction vulnérable, puis injection via CVE-2026-86060 pour exécuter des commandes système. Le tout sans jamais fournir un mot de passe.
Ce que la chaîne permet à un attaquant
Une fois le routeur compromis, la post-exploitation RouterOS est bien documentée : ajout de comptes administrateur cachés, persistance par le moteur de scripts et le planificateur (/system script, /system scheduler), modification des règles de pare-feu et de NAT pour rediriger le trafic, mise en place de proxies SOCKS ou de tunnels, et interception du trafic en transit. Un routeur de bordure compromis devient un pivot : il voit le DNS, le trafic interne et les segments en aval.
C’est précisément ce qui rend l’affaire grave au-delà de la note de vulnérabilité. RouterOS a une longue histoire d’exploitation de masse par les botnets — l’exemple le plus marquant restant Mēris en 2021, qui a agrégé des centaines de milliers de boîtiers pour des attaques DDoS — et par des acteurs étatiques. Les boîtiers MikroTik sont fréquemment exposés sur Internet, rarement supervisés et presque jamais intégrés à un EDR : une cible idéale pour un accès initial peu coûteux.
Le KEV et l’échéance du 13 septembre
L’inscription au KEV n’est pas un signal anodin : la CISA n’y ajoute une faille qu’avec des preuves crédibles d’exploitation dans la nature. Les deux CVE sont donc déjà utilisées, pas simplement « exploitables ». La directive BOD 26-04 impose aux agences du pouvoir exécutif civil fédéral (FCEB) de remédier avant la date d’échéance inscrite au catalogue — le 13 septembre 2026 pour ces deux failles. Le secteur privé n’est pas lié par la directive, mais il a tout intérêt à en faire son SLA interne : face à une exploitation active, la question du score CVSS devient secondaire, la priorité vient du terrain.
Corriger ne suffit pas : traquer la compromission
Puisqu’un routeur ne peut pas héberger d’agent EDR, la détection repose sur la télémétrie des journaux et du réseau. Forwardez les syslog RouterOS vers le SIEM (au minimum les topics system, critical et firewall) et surveillez le plan de gestion. Les observables à chercher :
- des requêtes non authentifiées ou anormales vers les endpoints web/API, contenant des métacaractères shell (
;,|,&&,$()ou des backticks) ; - des comptes locaux nouveaux ou inattendus ;
- des entrées de planificateur ou des scripts que vous n’avez pas créés — le mécanisme de persistance classique ;
- des changements de configuration hors fenêtre : nouvelles règles NAT, service SOCKS activé, DNS modifié ;
- des connexions sortantes du routeur vers des IP externes inconnues.
Un point de contrôle avant et après correction :
/system scheduler print
/system script print
/user print
/ip firewall nat printCorriger n’expulse pas un attaquant. Si vous constatez une compromission, traitez l’appareil comme entièrement non fiable : exportez et relisez la configuration, réinstallez l’image (netinstall), faites tourner tous les identifiants — y compris ceux des systèmes en aval que le routeur pouvait observer — et examinez les journaux de trafic pour toute interception ou redirection.
Verdict
Si vous opérez du RouterOS en bordure ou chez des clients MSP/MSSP, traitez cette chaîne comme une demande de changement d’urgence, pas comme un cycle de correctifs ordinaire : passez immédiatement sur 6.49.21, 7.23.4 ou 7.24.2 selon votre branche, désactivez les services inutiles (FTP, Telnet, l’API si Winbox/SSH suffisent), et auditez l’appareil avant et après le correctif. Si une branche RouterOS en fin de vie ne recevra pas de correctif, remplacez l’équipement — aucune règle de configuration ne le rendra sûr.
Si vous exploitez un parc hétérogène sans inventaire réseau, c’est le moment de lancer un scan d’inventaire des ports 8291, 8728 et 8729 : les boîtiers exposés que vous trouverez sont très probablement déjà sous pression. La chaîne CVE-2026-67277 + CVE-2026-86060 ne demande ni zero-day ni interaction utilisateur — seulement une portée réseau. C’est la définition d’un risque à corriger avant la fin de journée.