Routeurs MikroTik : une faille SSH exploitée, et un premier correctif à refaire
En bref
MikroTik a corrigé en septembre 2026 six failles de RouterOS, dont une faille SSH qui permet d’exécuter des commandes sans se connecter, exploitée selon le fabricant. Le correctif de septembre étant incomplet pour l’une des six, MikroTik demande de passer en 7.24.3 ou 7.23.6, ou en 6.49.21 pour RouterOS 6, même si vous avez déjà mis à jour.
Un routeur posé il y a quelques années, qui fonctionne sans qu’on y pense : ce peut être un routeur MikroTik. En septembre 2026, MikroTik a publié six corrections pour RouterOS, le logiciel de ses routeurs, dont une pour une faille déjà exploitée. Le 6 octobre, le fabricant a ajouté un détail qui compte : ceux qui ont mis à jour en septembre doivent recommencer.
Que s’est-il passé ?
Le 3 septembre 2026, MikroTik a publié son avis de sécurité de septembre 2026, mis à jour le 6 octobre. Les six failles lui ont été signalées par le CERT Polska, l’équipe polonaise de réponse aux incidents, qui a publié son propre avis le 5 septembre 2026. Les deux pages ont été lues le 25 octobre 2026.
La plus grave, CVE-2026-67279, touche le service SSH, qui sert à administrer le routeur à distance : selon MikroTik, elle permet d’exécuter des commandes sur le routeur sans se connecter, et elle est exploitée. L’agence américaine de cybersécurité, la CISA, l’a inscrite le 25 septembre 2026 dans son catalogue des failles exploitées (lu le 25 octobre 2026).
Les cinq autres, d’après l’avis du fabricant :
- une autre faille SSH, qui peut donner à un utilisateur plus de droits qu’il ne devrait en avoir ;
- une troisième, où l’authentification par clé peut réussir sans la bonne clé privée, dans certaines conditions ;
- une faille de WebFig, l’interface web du routeur, qui permet de lire des fichiers, y compris des identifiants, sans se connecter (RouterOS 7.20 et suivants) ;
- une faille dans la vérification des certificats, qui peut faire accepter au routeur un faux serveur (RouterOS 7 seulement) ;
- une faille du test de débit intégré, qui peut faire redémarrer le routeur.
Pourquoi faut-il mettre à jour une seconde fois ?
Parce que le correctif de septembre, les versions 7.24.2 et 7.23.4, réglait la faille SSH exploitée mais pas complètement celle des certificats. MikroTik l’écrit simplement : si vous avez mis à jour en septembre, mettez à jour à nouveau.
| Votre routeur | Version à installer maintenant |
|---|---|
| RouterOS 7, branche stable | 7.24.3 ou plus |
| RouterOS 7, branche long terme | 7.23.6 ou plus |
| RouterOS 6 | 6.49.21 ou plus |
| Déjà en 7.24.2 ou 7.23.4 | à refaire : 7.24.3 ou 7.23.6 |
La version installée s’affiche dans l’interface d’administration du routeur.
Votre routeur est-il exposé ?
MikroTik précise que la plupart des configurations ne sont pas à risque : par défaut, SSH et WebFig ne sont pas joignables depuis Internet. Le risque vient des accès ouverts à la main, souvent « pour dépanner », puis oubliés. Le fabricant recommande :
- de vérifier que SSH et WebFig ne sont pas joignables depuis des réseaux qui ne sont pas de confiance, et de limiter tout port ouvert à des adresses connues ;
- de passer de préférence par un VPN, comme WireGuard, pour administrer le routeur, sans exposer aucun port d’administration ;
- de regarder le journal du routeur : une entrée critique « Flagged » demande de suivre la procédure de MikroTik ;
- après la mise à jour, de relire la configuration, à la recherche de scripts, d’utilisateurs ou de réglages que vous ne reconnaissez pas.
Ce dernier point est important : une mise à jour ferme la faille, elle ne retire pas ce qu’un attaquant aurait pu ajouter avant.
Ce que fait SateLink
SateLink Solution est une entreprise indépendante, sans lien avec MikroTik. Que votre routeur vienne de nous ou d’ailleurs, Romuald et son équipe peuvent vérifier avec vous sa version, les accès d’administration ouverts sur Internet et la façon dont vous vous y connectez à distance. Avec la maintenance Sérénité, le réseau que nous suivons est supervisé à distance, les mises à jour critiques sont appliquées et les failles connues surveillées.
Les bons réflexes pour tout le réseau sont dans le guide de la cybersécurité du réseau pour une PME. Pour administrer ou rejoindre le réseau de l’extérieur sans ouvrir de port, lisez aussi Accès au réseau de l’entreprise en télétravail : comment se connecter à distance proprement.
En résumé
- MikroTik a corrigé six failles de RouterOS ; la faille SSH CVE-2026-67279, qui permet d’exécuter des commandes sans se connecter, est exploitée selon le fabricant.
- La CISA l’a inscrite parmi les failles exploitées le 25 septembre 2026.
- Le correctif de septembre (7.24.2, 7.23.4) était incomplet : il faut passer en 7.24.3 ou 7.23.6, ou en 6.49.21 pour RouterOS 6.
- SSH et WebFig ne doivent pas être joignables depuis Internet ; l’administration passe de préférence par un VPN.
Pour faire le point sur votre routeur, l’appel de cadrage est gratuit : trente minutes pour voir sa version et ce qu’il laisse ouvert.
