CVE-2026-67277 : MikroTik RouterOS exploité, KEV CISA sept. 2026

Les faits

CVE-2026-67277 est une vulnérabilité de type authentification manquante pour une fonction critique (CWE-306 : Missing Authentication for Critical Function) affectant le service bandwidth-test du système d'exploitation RouterOS de MikroTik. Cette faille, dont le score CVSS est de 8.8 (High), a été ajoutée au catalogue Known Exploited Vulnerabilities (KEV) de la CISA le 10 septembre 2026, confirmant son exploitation active dans la nature. Elle fait partie d'un ensemble de quatre CVE découvertes simultanément dans RouterOS (CVE-2026-67276 à CVE-2026-67279) et documentées par CERT Polska dans leur advisory de septembre 2026.

Le score CVSS 8.8 reflète une vulnérabilité sévère permettant à un attaquant non authentifié d'accéder à des fonctionnalités normalement réservées aux utilisateurs authentifiés, avec possibilité de fuite de mémoire noyau et de déni de service entraînant le redémarrage du routeur. Si le score est inférieur à 9.0, la criticité réelle de cette faille est amplifiée par l'omniprésence des équipements MikroTik dans les infrastructures réseau mondiales : des dizaines de milliers de RouterOS sont directement accessibles depuis Internet selon les données Shodan analysées par RunZero.

Techniquement, la vulnérabilité exploite un défaut dans la gestion des connexions du service bandwidth-test de RouterOS. Ce service permet de mesurer la bande passante disponible entre deux points du réseau et écoute par défaut sur le port UDP 2000. La faille réside dans le fait que RouterOS accepte une connexion btest "related" (secondaire) avant que la session primaire correspondante ait complété le processus d'authentification. Un client non authentifié peut ainsi exploiter cet état intermédiaire pour initier un test UDP IPv4, contournant les contrôles d'accès.

Deux failles secondaires compoundent CVE-2026-67277 pour augmenter son impact. Premièrement, une fuite de mémoire noyau : avec l'option "random-data=false", l'émetteur transmet une queue non initialisée issue d'un tampon de paquets noyau. Des données sensibles présentes en mémoire noyau au moment du test — clés de chiffrement, secrets de sessions VPN, tokens d'authentification — peuvent ainsi être exposées à l'attaquant via les paquets UDP transmis. Il s'agit d'une lecture hors limites (out-of-bounds read) sur la mémoire noyau. Deuxièmement, un underflow d'entier non signé : un intervalle de taille de paquets non vérifié et inversé provoque un underflow d'entier non signé, générant une sortie fragmentée anormalement volumineuse et pouvant provoquer le redémarrage du noyau RouterOS.

Les versions affectées couvrent toutes les branches de RouterOS jusqu'aux seuils suivants : branche Long-term 6.x jusqu'à 6.49.20 inclus (correctif : 6.49.21), branche Long-term 7.x jusqu'à 7.23.3 inclus (correctif : 7.23.4), et branche Stable 7.x jusqu'à 7.24.1 inclus (correctif : 7.24.2). La vulnérabilité n'est pas présente dans les versions 7.x les plus récentes au-delà de ces seuils. Il n'existe pas de version 6.x patchée antérieure à 6.49.21.

Les équipements MikroTik sont massivement déployés dans le monde entier, en particulier dans les PME, les fournisseurs d'accès Internet (FAI) régionaux, les collectivités et les environnements industriels. RouterOS équipe les séries CCR (Cloud Core Router), CRS (Cloud Router Switch), RB (RouterBoard) et les CHR (Cloud Hosted Router). Le service bandwidth-test est souvent activé par défaut sur les déploiements non durcis, offrant ainsi une surface d'attaque directement accessible.

Help Net Security a rapporté les premières exploitations actives dès le 7 septembre 2026, soit avant même l'ajout officiel au KEV CISA le 10 septembre. Les attaques observées visent principalement à exploiter la fuite mémoire pour extraire des credentials présents en mémoire noyau (clés de chiffrement de tunnels IPsec, secrets WireGuard, sessions SSH actives) et à provoquer des dénis de service sur des infrastructures critiques. La campagne MikroTrick documentée précédemment dans notre analyse de CVE-2026-86060 avait déjà ciblé les équipements MikroTik via une chaîne différente ; CVE-2026-67277 ouvre un nouveau vecteur d'attaque distinct exploitant le service bandwidth-test.

CERT Polska a publié un advisory détaillé sur cette famille de vulnérabilités (CVE-2026-67276 à CVE-2026-67279), documentant leur découverte et la coordination avec MikroTik pour le développement et la publication des correctifs. La multiplicité des vulnérabilités récentes dans RouterOS souligne la nécessité d'une stratégie de gestion des correctifs rigoureuse pour ces équipements réseau souvent négligés, faute d'une interface de gestion des patches aussi mature que celle des équipements enterprise Cisco ou Fortinet. MikroTik a confirmé les correctifs dans les notes de version de RouterOS 6.49.21, 7.23.4 et 7.24.2.

Selon l'analyse de RedPacket Security, le vecteur d'attaque CVSS:3.1 est AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H, confirmant qu'aucune authentification ni interaction utilisateur n'est requise, et que l'impact principal porte sur la confidentialité (fuite mémoire) et la disponibilité (déni de service par redémarrage). La composante d'intégrité est classée basse, ce qui distingue cette vulnérabilité des RCE complètes, mais l'extraction de secrets cryptographiques depuis la mémoire noyau constitue néanmoins une compromission grave de la confidentialité de l'infrastructure réseau.

Impact et exposition

Les équipements MikroTik sont fréquemment utilisés comme routeurs de bordure, ce qui les positionne directement sur Internet et maximise la surface d'attaque. Un attaquant externe peut potentiellement exploiter CVE-2026-67277 sans aucun accès préalable au réseau interne si le port UDP 2000 (bandwidth-test) est accessible depuis Internet, configuration courante dans les environnements non durcis.

La fuite mémoire noyau est particulièrement préoccupante pour les routeurs traitant des tunnels VPN IPsec ou PPTP, des sessions SSH actives, ou du trafic WireGuard. Les clés cryptographiques et les secrets de session présents en mémoire noyau au moment de l'exploitation peuvent être exposés, compromettant rétroactivement la confidentialité des communications protégées par ces tunnels. Pour les FAI et opérateurs réseau, cela pourrait exposer les données de trafic de milliers d'utilisateurs finaux.

Le vecteur déni de service (underflow d'entier entraînant le redémarrage noyau) peut être exploité à des fins de perturbation d'infrastructure. Pour les FAI et opérateurs réseau utilisant MikroTik CCR comme routeurs de cœur de réseau, un tel déni de service répété peut entraîner des interruptions de service affectant potentiellement des centaines ou milliers d'utilisateurs finaux.

L'exploitation combinée avec d'autres vulnérabilités RouterOS (CVE-2026-67276, CVE-2026-67278, CVE-2026-67279 découvertes simultanément) peut permettre une prise de contrôle plus étendue de l'équipement. CERT Polska recommande de traiter cette famille de CVE comme un ensemble cohérent et d'appliquer les correctifs de manière globale plutôt que de se concentrer uniquement sur CVE-2026-67277.

Recommandations immédiates

• Mettre à jour RouterOS vers 6.49.21 (Long-term 6.x), 7.23.4 (Long-term 7.x) ou 7.24.2 (Stable) via le menu System → Packages → Check For Updates ou via la commande CLI : /system package update install
• Si la mise à jour immédiate est impossible : désactiver le service bandwidth-test — MikroTik Security Advisory MTSEC-2026-09 (sans lien externe) — via /tool bandwidth-server set enabled=no
• Bloquer le port UDP 2000 en entrée sur le firewall RouterOS : /ip firewall filter add chain=input protocol=udp dst-port=2000 action=drop comment="Block bandwidth-test CVE-2026-67277"
• Auditer la configuration du firewall pour s'assurer qu'aucun port de gestion (Winbox 8291, SSH 22, Web 80/443, bandwidth-test UDP 2000) n'est exposé directement sur Internet sans restriction d'adresse IP source
• Rechercher des activités suspectes dans les logs RouterOS : connexions bandwidth-test non initiées par des administrateurs, crashs noyau répétés (visible via /log print), tentatives d'accès depuis des IP non reconnues
• Appliquer également les correctifs pour CVE-2026-67276, CVE-2026-67278 et CVE-2026-67279 découvertes dans le même bulletin CERT Polska