CVE-2026-86060 : MikroTik RouterOS exploité, MikroTrick

Les faits

Le 5 septembre 2026, CERT Polska a publié une analyse détaillée de deux vulnérabilités critiques affectant MikroTik RouterOS, le système d'exploitation embarqué équipant des millions de routeurs, switches et équipements réseau MikroTik déployés chez des opérateurs, des PME et des particuliers à travers le monde. Les chercheurs de CERT Polska ont nommé la combinaison de ces deux failles la chaîne d'attaque « MikroTrick ».

La première vulnérabilité, CVE-2026-86060, est une faille d'injection d'argument (Argument Injection, CWE-88) dans le gestionnaire de connexion SSH de RouterOS. La faille réside dans la manière dont RouterOS traite les noms d'utilisateur fournis lors d'une session SSH. Lorsqu'un nom d'utilisateur commence par un caractère interdit spécifique, le parseur du helper d'authentification SSH interprète mal les arguments qui suivent, permettant à un attaquant de modifier le masque de politique de confiance (trusted RouterOS policy mask) de la session en cours. Le score CVSS de cette vulnérabilité est de 9.2.

Seule, CVE-2026-86060 permet une élévation de privilèges — la session SSH obtenue dispose de privilèges administratifs complets dans le système RouterOS. Combinée avec CVE-2026-67276, qui permet d'initier une session SSH sans authentification valide si le service SSH est accessible depuis internet, l'attaquant obtient un accès administrateur complet au routeur sans jamais fournir de mot de passe. C'est précisément ce scénario qui constitue la chaîne MikroTrick : une compromission complète non-authentifiée.

CERT Polska a confirmé que des attaquants exploitent activement cette chaîne contre des équipements MikroTik dont le service SSH est exposé directement sur internet. Les routeurs compromis sont utilisés pour diverses activités malveillantes : déploiement d'implants persistants, exfiltration de données de routage, création de nœuds dans des botnets ou des infrastructures de command-and-control (C2). La popularité des équipements MikroTik dans les environnements ISP et les PME en fait une cible de choix pour des acteurs malveillants cherchant à bâtir des infrastructures de proxy ou d'attaque distribuée.

Les versions de RouterOS affectées couvrent l'ensemble des branches actuellement en usage : les branches 6.x et 7.x sont toutes deux vulnérables avant les versions corrigées. MikroTik a publié les correctifs dans RouterOS 6.49.21 (branche Long-term), RouterOS 7.23.4 (branche Long-term) et RouterOS 7.24.2 (branche Stable). Les administrateurs doivent identifier leur branche de déploiement et appliquer le correctif correspondant.

D'un point de vue technique, CVE-2026-86060 exploite une confusion dans le traitement des délimiteurs d'arguments dans le code d'authentification SSH de RouterOS (CWE-88 — Improper Neutralization of Argument Delimiters in a Command). Ce type de faille est particulièrement insidieux car il ne nécessite pas d'overflow mémoire ni de corruption de structure de données complexe. Il suffit de contrôler la valeur du champ username dans la négociation SSH pour déclencher le comportement anormal et obtenir la session privilégiée.

L'historique des vulnérabilités MikroTik est éloquent : en 2018, CVE-2018-14847 dans Winbox avait permis la compromission de plus de 200 000 routeurs MikroTik en quelques semaines. En 2023, des campagnes ciblant RouterOS via Socks4 avaient transformé des équipements MikroTik en relais pour des opérations d'espionnage attribuées au groupe Sandworm. La chaîne MikroTrick s'inscrit dans cette tendance longue : les équipements réseau MikroTik mal maintenus représentent une surface d'attaque persistante et massive.

Des moteurs de recherche spécialisés indexent régulièrement plusieurs millions d'équipements MikroTik avec un port SSH ouvert sur internet. Même une faible proportion de ces équipements non patchés représente des centaines de milliers de cibles potentielles exploitables immédiatement via MikroTrick. La criticité de la situation est renforcée par le fait que de nombreux déploiements MikroTik constituent l'unique périmètre de sécurité réseau de PME n'ayant pas de firewall séparé.

Impact et exposition

Tout équipement MikroTik exécutant RouterOS avec le service SSH accessible depuis internet et dont la version est antérieure à 6.49.21, 7.23.4 ou 7.24.2 est exposé à une exploitation complète via la chaîne MikroTrick sans authentification. Les environnements les plus à risque incluent les opérateurs internet régionaux (ISP) utilisant MikroTik pour leur infrastructure d'accès, les PME ayant déployé des routeurs MikroTik sans politique de gestion des mises à jour, et les déploiements sans VPN ou firewall séparant l'administration SSH de l'internet.

L'exploitation active confirmée par CERT Polska implique que des attaquants scannent activement internet à la recherche d'équipements vulnérables. Un équipement compromis via MikroTrick peut être utilisé comme point de pivot pour attaquer le réseau local derrière le routeur, comme nœud de botnet DDoS, ou pour intercepter et analyser le trafic réseau transitant par l'équipement (attaque man-in-the-middle sur le flux réseau).

Les organisations utilisant MikroTik dans des environnements critiques (OT/SCADA, santé, finance, défense) doivent traiter cette vulnérabilité avec la plus haute priorité. La compromission d'un routeur de bordure peut permettre une intrusion latérale dans l'ensemble du réseau de l'organisation, avec des conséquences potentiellement catastrophiques en termes de vol de données ou de sabotage.

Recommandations immédiates

• Mettre à jour RouterOS vers 7.24.2 (Stable), 7.23.4 (Long-term) ou 6.49.21 (Long-term) — commande RouterOS : /system package update install
• Restreindre immédiatement l'accès SSH aux seules adresses IP d'administration via les firewall rules : /ip firewall filter add chain=input protocol=tcp dst-port=22 src-address-list=!mgmt-ips action=drop
• Changer le port SSH par défaut (22) vers un port non-standard comme mesure complémentaire de réduction de la surface d'exposition
• Auditer les logs de connexion SSH pour détecter des connexions avec des noms d'utilisateur anormaux (commençant par des caractères inhabituels)
• Vérifier l'intégrité de la configuration RouterOS : comptes utilisateurs créés récemment (/user print), scripts planifiés non autorisés (/system scheduler print), tunnels SOCKS (/ip socks print), règles NAT suspectes
• Désactiver le service SSH si non indispensable et utiliser exclusivement Winbox ou l'API RouterOS via un VPN dédié