CVE-2026-84411, noté CVSS 9,8, est un underflow d’entier dans le service d’administration web de RouterOS, exploitable avant authentification par une seule requête forgée pour exécuter du code en root. Tout routeur MikroTik dont l’interface web est joignable depuis Internet doit passer en 7.24 ou retirer cette interface du réseau.
Le 22 septembre 2026, D-Link a confirmé deux failles critiques dans le routeur DIR-822A en fin de vie, un débordement de tampon dans le serveur DHCP (CVE-2026-86296, CVSS 10) et une écriture hors limites dans le parseur L2TP (CVE-2026-86510, CVSS 9,9), toutes deux accompagnées d’une preuve de concept publique et sans correctif disponible. Remplacez ou isolez ces routeurs, et ne les exposez jamais sur Internet.
NEC corrige CVE-2026-16876, une faille critique (CVSS 9.4) dans la WebGUI des routeurs UNIVERGE IX-R et IX-V : un message forgé contourne l’authentification et exécute des commandes arbitraires. Mettez à jour le firmware ou désactivez la WebGUI si elle est joignable depuis Internet.
CERT Polska révèle que des attaquants prennent le contrôle administratif complet de routeurs MikroTik dont le SSH est accessible depuis Internet, sans authentification. Mettez à jour RouterOS et auditez la configuration avant toute remise en service.
Le ministère américain de la Justice et le FBI ont annoncé le démantèlement d’un réseau de routeurs SOHO compromis par le GRU, qui détournait les requêtes DNS pour intercepter identifiants et courriels chiffrés. La leçon tient en une phrase : le routeur domestique est devenu le point d’interception privilégié des services de renseignement, et il se protège comme une surface d’attaque.
Deux failles publiées le 19 août 2026, CVE-2026-71960 et CVE-2026-71961, permettent à un attaquant sans compte de forger un jeton MQTT puis d’exécuter des commandes root sur le routeur mesh Cudy WR3000. Mettez à jour vers le firmware 2.5.24 et sortez l’interface mesh de votre exposition Internet.
