MikroTick : deux failles SSH chainées compromettent les routeurs

MikroTrick : un enchaînement de failles qui ouvre les routeurs en grand

Depuis le 2 septembre 2026 aux alentours de 08h00 UTC, des attaquants exploitent activement une chaîne de deux vulnérabilités dans MikroTik RouterOS, baptisée « MikroTrick » par les chercheurs en sécurité. La première trace documentée de l'intrusion montre la création automatique d'un compte SSH non autorisé nommé « ops » sur un routeur ciblé, dont l'accès a été retracé jusqu'à l'adresse IP 82.192.72.4. L'ampleur de l'exploitation a rapidement alerté la communauté sécurité internationale.

La chaîne repose sur la combinaison de deux identifiants CVE distincts. CVE-2026-67276, noté CVSS 9.2, est un contournement d'authentification SSH : si un attaquant connaît un nom d'utilisateur valide et la partie publique de sa clé RSA, il peut forger une fausse clé et se connecter sans jamais posséder la clé privée correspondante. Cette faille suffit à obtenir une session SSH sur l'équipement. CVE-2026-86060, le second maillon, est une élévation de privilège dans le gestionnaire de session SSH : combiné au premier, il confère à l'attaquant des droits administrateur complets sur le routeur, sans aucune interaction utilisateur requise.

MikroTik a confirmé l'existence des vulnérabilités le 3 septembre 2026 et a publié des correctifs sur l'ensemble de ses canaux de distribution en quelques heures. Les versions corrigées sont RouterOS 7.25 beta 3, 7.24.2 stable, 7.23.4 long-term et 6.49.21 long-term. Malgré cette réactivité, des milliers de routeurs restent exposés en raison de délais de mise à jour dans les environnements opérationnels.

Le CERT Polska a publié une alerte urgente le 4 septembre 2026, soulignant que l'exploitation est triviale à automatiser : il suffit de connaître un nom d'utilisateur et de récupérer la clé publique RSA associée, deux informations souvent accessibles via des scans Shodan ou des données d'énumération préalables. Les chercheurs de SecurityAffairs ont documenté un indicateur de compromission spécifique : la présence d'un utilisateur SSH nommé « -2 » ou « ops » sur des appareils qui n'auraient pas dû en créer de nouveaux.

Les vecteurs post-exploitation observés sont multiples. Sur des réseaux d'entreprise, les acteurs malveillants ont utilisé les routeurs compromis comme point d'ancrage pour pivoter vers des segments internes non exposés directement sur Internet. Sur d'autres cas, les équipements ont été enrôlés dans des botnets déployant des crypto-mineurs ou servant de relais à des attaques DDoS. Selon le site The Hacker News, des groupes d'attaquants non attribués ont déployé des shells inversés pour maintenir un accès persistant après le redémarrage des appareils.

L'écosystème MikroTik est particulièrement exposé en raison de la diffusion massive de ses équipements. Selon les données de Shodan agrégées par les chercheurs de Security Online, plus de 750 000 appareils RouterOS sont accessibles directement depuis Internet avec le port SSH ouvert. Une proportion significative tourne encore sur des versions 6.x qui bénéficient d'un support limité et dont les mises à jour sont moins automatisées que sur les branches 7.x.

MikroTik est une cible récurrente pour les acteurs malveillants. En 2023, le botnet Mēris avait exploité des routeurs MikroTik non patchés pour orchestrer des attaques DDoS à plusieurs millions de requêtes par seconde contre des cibles financières et gouvernementales. En 2024, le groupe APT28 avait utilisé des routeurs MikroTik compromis comme infrastructure de command-and-control pour dissimuler des opérations d'espionnage. La répétition de ces incidents souligne un problème structurel : la maintenance des équipements réseau est systématiquement moins rigoureuse que celle des systèmes d'exploitation serveur ou des applications.

Pour les organisations qui ne peuvent pas patcher immédiatement, la recommandation prioritaire est de désactiver l'accès SSH depuis Internet ou de le restreindre à des plages d'adresses IP de confiance via les règles de pare-feu intégrées de RouterOS. Le contrôle de l'intégrité des comptes SSH existants doit être effectué en urgence, avec suppression de tout compte inconnu. Le journal de connexion RouterOS (log print) permet de détecter des authentifications anormales. Les administrateurs doivent également vérifier la configuration du scheduler RouterOS pour identifier d'éventuels scripts de persistance ajoutés par des attaquants.

Un signal fort sur la sécurité des équipements réseau périphériques

L'affaire MikroTrick remet en lumière une tension persistante dans la sécurité des infrastructures : les équipements réseau — routeurs, switches, firewalls — sont à la fois omniprésents et chroniquement sous-patchés. Contrairement aux serveurs qui bénéficient souvent de mécanismes de mise à jour automatique et de pipelines DevSecOps, les équipements réseau sont fréquemment configurés une fois puis oubliés, parfois pendant des années. Cette inertie opérationnelle crée des fenêtres d'exploitation considérables.

La nature de CVE-2026-67276 est particulièrement préoccupante : l'exploitation de clés RSA publiques pour contourner l'authentification SSH signifie que des organisations qui ont scrupuleusement suivi les bonnes pratiques — désactiver l'authentification par mot de passe, n'utiliser que des clés cryptographiques — se retrouvent vulnérables malgré leurs efforts. C'est une illustration du fait qu'une configuration sécurisée ne se substitue pas à la maintenance logicielle.

Du point de vue réglementaire, NIS2 impose aux opérateurs de services essentiels et aux fournisseurs de services numériques une gestion rigoureuse des correctifs de sécurité, y compris sur les équipements réseau. Une compromission de routeur exploitant une faille publiquement connue et patchée constituerait un manquement caractérisé aux obligations de l'article 21 de la directive, susceptible d'entraîner des sanctions de l'ANSSI pour les entités françaises concernées.

L'automatisation de l'exploitation est l'autre facteur aggravant. Dans les heures suivant la publication des détails techniques par les chercheurs de Sansec et The Hacker News, des outils d'exploitation PoC ont circulé sur des forums spécialisés. La fenêtre entre la divulgation et l'exploitation à grande échelle se mesure désormais en heures, non plus en jours ou semaines. Ce rythme impose aux équipes sécurité une réactivité que seule une gestion structurée des vulnérabilités — avec inventaire à jour des équipements, alertes automatiques sur les CVE critiques, et procédures de patch d'urgence testées — peut absorber.

Ce qu'il faut retenir

• MikroTrick chaîne CVE-2026-67276 (bypass SSH, CVSS 9.2) + CVE-2026-86060 (escalade de privilèges) pour un accès administrateur complet sans authentification.
• Patcher immédiatement vers RouterOS 7.24.2 stable, 7.23.4 long-term ou 6.49.21 long-term ; vérifier la présence de comptes SSH inconnus (notamment « ops » ou « -2 »).
• Si le patch est impossible à court terme, restreindre SSH à des IP de confiance et auditer le scheduler RouterOS pour détecter une persistence malveillante.