Mirai exploite CVE-2025-29635 sur les D-Link DIR-823X

Ce qui s'est passé

Le 22 avril 2026, l'Akamai Security Intelligence and Response Team (SIRT) a publié un rapport détaillant une campagne active associant Mirai D-Link CVE-2025-29635 : une variante du célèbre botnet exploite désormais cette faille d'injection de commande pour compromettre les routeurs D-Link DIR-823X. Les honeypots déployés par Akamai à l'échelle mondiale ont enregistré les premières tentatives d'exploitation dès le début du mois de mars 2026, avant une intensification marquée des attaques au fil des semaines suivantes. La vulnérabilité, qui affecte un modèle de routeur grand public en fin de support, permet à un attaquant distant non authentifié d'exécuter des commandes arbitraires sur l'équipement ciblé, puis d'y déployer une charge utile Mirai. Les appareils ainsi enrôlés viennent grossir une infrastructure de déni de service distribué déjà responsable de plusieurs vagues d'attaques volumétriques.

La CVE-2025-29635 avait été divulguée en mars 2025 et était restée sans exploitation documentée pendant douze mois. La situation a changé début 2026 avec l'apparition de deux opérateurs distincts : la variante Mirai observée par Akamai et un botnet émergent baptisé RondoDox, qui scanne les mêmes cibles avec un kit d'exploitation différent. Pour les administrateurs, l'empreinte est celle d'une campagne à volumétrie modérée mais persistante, avec des requêtes HTTP POST répétées vers l'endpoint vulnérable, souvent depuis des IP résidentielles déjà compromises.

D-Link a confirmé que la gamme DIR-823X est arrivée en fin de support en novembre 2024 et qu'aucun correctif ne sera publié. Le constructeur renvoie ses clients vers des modèles plus récents, laissant la base installée — estimée à plusieurs dizaines de milliers d'unités actives dans le monde — totalement exposée à une CVE publique depuis plus d'un an.

Pourquoi c'est important

Cette campagne illustre la dette technique massive que représentent les routeurs grand public en fin de vie. Les DIR-823X sont très répandus en PME et en résidentiel, avec des firmwares rarement mis à jour même lorsque des correctifs existent. Lorsqu'un vendeur déclare un produit EOL et refuse de patcher, les CVE anciennes deviennent des armes réutilisables année après année par les opérateurs de botnets — c'est exactement le schéma qui avait permis à Mirai de battre des records de trafic DDoS depuis 2016, et que l'on retrouve dans d'autres campagnes de masse comme le scan n8n à 100 000 serveurs.

Pour les entreprises, le risque est double. Un routeur compromis dans le LAN sert de pivot pour de la reconnaissance interne, de l'exfiltration ou du tunneling vers des ressources sensibles. Depuis l'extérieur, l'IP publique peut être enrôlée dans des attaques DDoS visant des tiers, avec les conséquences juridiques et de réputation que cela implique. Les fournisseurs d'accès et hébergeurs peuvent également bloquer les IP malveillantes, générant des ruptures de service imprévues pour les équipes IT. Le phénomène complète la vague de vulnérabilités récentes sur les équipements réseau d'entreprise comme la faille IKE Windows BlueHammer.

Au-delà du cas D-Link, cet incident relance la question du support long terme des équipements réseau. Les référentiels de sécurité comme le catalogue CISA KEV du 20 avril s'alourdissent chaque semaine de vulnérabilités touchant des produits abandonnés, forçant les équipes SOC à arbitrer entre remplacement matériel coûteux et acceptation d'un risque croissant. L'écosystème npm connaît la même dérive, illustrée par l'attaque Axios de Sapphire Sleet sur la chaîne d'approvisionnement logicielle.

Ce qu'il faut retenir

• Remplacer immédiatement tout routeur D-Link DIR-823X en production : aucun patch ne viendra, et l'exploitation est active.
• Bloquer l'accès externe à l'interface d'administration et désactiver l'UPnP si le remplacement n'est pas immédiat.
• Surveiller les signatures Mirai et RondoDox dans les sondes IDS, ainsi que les signalements de trafic DDoS sortant depuis le réseau.
• Intégrer une politique EOL matériel à la gestion de parc pour éviter de découvrir l'obsolescence le jour où un botnet l'exploite.