L'équipe nationale d'intervention d'urgence informatique de Pologne, CERT Polska, a confirmé que deux vulnérabilités critiques dans le système d'exploitation RouterOS de MikroTik sont activement exploitées dans la nature, avec des compromissions documentées remontant à au moins le 2 septembre 2026. Les failles, référencées CVE-2026-67276 et CVE-2026-86060, forment une chaîne d'attaque que les chercheurs ont baptisée MikroTrick, laquelle permet à des adversaires non authentifiés de s'emparer du contrôle administratif complet de tout routeur dont l'interface de gestion SSH est accessible depuis l'Internet public.

Fonctionnement de la chaîne MikroTrick

La première vulnérabilité, CVE-2026-67276, réside dans la logique de vérification des clés du serveur SSH de RouterOS. Le serveur ne validant pas correctement les clés présentées, un attaquant peut générer une paire de clés que l'appareil accepte comme légitime, accordant un accès initial sans mot de passe ni identifiant. La seconde faille, CVE-2026-86060, est déclenchée par des noms d'utilisateur spécialement conçus qui élèvent ce point d'appui initial directement vers des privilèges administratifs. Les deux vulnérabilités portent le score de base CVSS maximal de 9,2, reflétant leur facilité d'exploitation et la compromission complète qu'elles permettent.

L'avis de CERT Polska indique que les six vulnérabilités divulguées dans le cadre du processus coordonné n'ont été découvertes que parce que l'équipe a observé un trafic d'attaque actif contre les appareils RouterOS. En d'autres termes, l'exploitation a précédé la découverte, un rappel que les acteurs de la menace devancent souvent les calendriers de divulgation coordonnée, en particulier lorsque les interfaces de gestion sont laissées exposées.

Chronologie et infrastructure de l'attaque

L'analyse forensique de CERT Polska rattache les intrusions réussies les plus anciennes confirmées à l'adresse IP 82.192.72.4, avec une activité observée à partir du 2 septembre. Une seconde adresse, 103.102.31.18, apparaît dans des tentatives d'exploitation ultérieures. Le CERT polonais n'a pas attribué l'activité à un acteur de la menace ou à une campagne spécifique, et l'origine géographique de l'infrastructure reste incertaine ; les deux adresses pourraient être des hôtes compromis, des couches de proxy ou des serveurs d'attaque dédiés.

Le ciblage est opportuniste plutôt que sélectif : tout appareil RouterOS avec SSH ouvert sur Internet est à risque. Le matériel MikroTik est largement déployé en Europe dans les environnements de petits bureaux, de télétravail et d'équipements de clientèle gérés par les FAI, ce qui signifie que la surface d'attaque potentielle couvre des milliers de réseaux en Allemagne, en Pologne, dans les États baltes et au-delà.

Implications pour les opérateurs de réseaux européens

L'incident met en évidence une faiblesse opérationnelle persistante : les protocoles de gestion tels que SSH, Telnet, HTTP et Winbox sont systématiquement laissés exposés sur les appareils de périmètre malgré des années de recommandations pour les restreindre à des VLAN de gestion dédiés ou à un accès exclusivement par VPN. En vertu de la directive NIS2 de l'UE, entrée en vigueur en 2024 et s'appliquant à un large éventail d'entités essentielles et importantes, y compris les fournisseurs d'infrastructure numérique, les exploitants de tels équipements ont l'obligation légale de gérer les vulnérabilités rapidement et de signaler les incidents significatifs. Ne pas corriger des failles connues et activement exploitées sur des actifs exposés sur Internet pourrait constituer une non-conformité.

Les opérateurs allemands, en particulier, devraient y prêter attention. Le Bundesamt für Sicherheit in der Informationstechnik (BSI) conseille depuis longtemps de ne pas exposer les interfaces de gestion des routeurs, et le compendium de protection de base de l'agence recommande explicitement de désactiver SSH sur les interfaces WAN ou de le restreindre à des plages d'adresses IP administratives connues. La campagne MikroTrick fournit une illustration concrète et en temps réel de l'existence de ces recommandations.

Mesures d'atténuation et questions en suspens

MikroTik a publié des mises à jour de RouterOS corrigeant les six vulnérabilités divulguées par CERT Polska. Les administrateurs devraient appliquer les correctifs immédiatement, mais la correction seule est insuffisante pour les appareils qui pourraient avoir déjà été compromis. Étant donné que la chaîne d'attaque confère un contrôle administratif complet, un adversaire pourrait avoir installé des portes dérobées persistantes, modifié le firmware ou récolté des identifiants pour un mouvement latéral. CERT Polska conseille de traiter tout appareil ayant eu SSH exposé sur Internet pendant la fenêtre d'exposition comme potentiellement compromis : isoler, réinstaller à partir d'une sauvegarde fiable, renouveler tous les identifiants et inspecter les journaux à la recherche de sessions administratives anormales.

Plusieurs questions restent sans réponse. L'ampleur complète des compromissions réussies est inconnue ; CERT Polska n'a confirmé que les deux adresses IP sources observées dans sa télémétrie. Il n'est pas établi si les vulnérabilités ont été exploitées en tant que zero-days avant le 2 septembre, ou si les attaquants ont procédé à l'ingénierie inverse de correctifs ou d'ébauches de divulgation. L'identité et la motivation de l'acteur de la menace, qu'il soit criminel, affilié à un État ou opportuniste, n'ont pas été établies. Enfin, les six vulnérabilités divulguées suggèrent une surface d'attaque plus large dans le traitement SSH de RouterOS qui pourrait révéler d'autres failles.

Un schéma récurrent dans la sécurité des équipements réseau

Ce n'est pas la première fois que des appareils MikroTik sont au cœur de campagnes de compromission à grande échelle. En 2018, le logiciel malveillant VPNFilter a infecté des centaines de milliers de routeurs et d'appareils NAS, dont de nombreuses unités MikroTik, en exploitant des vulnérabilités connues et des identifiants par défaut. En 2023, le botnet Meris a tiré parti d'une vulnérabilité de RouterOS (CVE-2018-14847) pour construire une infrastructure DDoS massive. Chaque vague renforce la même leçon : les appareils d'infrastructure réseau sont des cibles de grande valeur, souvent gérées avec moins de rigueur que les serveurs ou les terminaux, et leur compromission offre un point d'appui persistant et difficile à détecter dans les réseaux victimes.

Organisations

CERT Polska · MikroTik