Faille dans MikroTik : le SSH livre tout le routeur
Le CERT Polska a publié le 5 septembre 2026 six vulnérabilités dans MikroTik RouterOS. Deux d'entre elles s'enchaînent et donnent les droits complets d'administrateur via le SSH de MikroTik RouterOS, sans mot de passe ni clé privée. La chaîne a été baptisée MikroTrick. Les attaques contre les équipements dont le port SSH répond depuis internet durent au moins depuis le 2 septembre, et les versions corrigées sont déjà disponibles.
En bref
- Deux failles enchaînées donnent un accès administrateur au routeur MikroTik en SSH, sans mot de passe.
- Les attaques durent depuis le 2 septembre, et un compte nommé "ops" apparaît sur les appareils compromis.
- Corrigé dans RouterOS 7.24.2, 7.23.4, 6.49.21 et 7.25beta3.
Comment fonctionne la chaîne MikroTik RouterOS SSH
La première faille est un contournement de l'authentification SSH. RouterOS compare la clé reçue à la clé RSA autorisée sur le type et le module, mais pas sur l'exposant, et il vérifie la signature avec la clé fournie par le client lui-même. Celui qui connaît un nom d'utilisateur valide et la partie publique de sa clé RSA fabrique une clé dont l'exposant vaut un, signe la requête avec elle et ouvre une session au nom de cet utilisateur. Ni clé privée ni mot de passe ne sont nécessaires.
- L'attaquant se connecte à un routeur dont le service SSH répond depuis l'internet public.
- Une clé RSA forgée passe la comparaison incomplète et ouvre une session au nom d'un utilisateur existant.
- Un nom d'utilisateur commençant par un caractère interdit franchit le traitement des arguments dans l'assistant de connexion.
- Le masque de politiques de la session est réécrit, et la session obtient les droits complets d'administrateur.
Les deux maillons portent les identifiants CVE-2026-67276 (vérification de signature) et CVE-2026-86060 (traitement des arguments), tous deux notés 9.2. Les quatre autres couvrent un test de débit sans authentification qui laisse fuir de la mémoire, la validation des certificats X.509, l'exécution de commandes SSH sans authentification et un pointeur non initialisé dans l'autorisation d'accès aux fichiers de WebFig.
Comment savoir si votre routeur a été pris
Le CERT Polska a publié des indicateurs concrets, et tous se vérifient sur le routeur lui-même.
- Entrées de journal : des lignes
login failure for user -2 from <ip> via ssh, ou une session réussie affichée enssh:-2@<ip>. - Un nouveau compte : un utilisateur privilégié nommé
opsque personne chez vous n'a créé. - Modifications de configuration : nouvelles clés SSH, scripts, planificateurs, services, règles de pare-feu, proxys, tunnels ou capture de paquets activée dans
/system history. - Adresses connues : des connexions depuis 82.192.72.4 ou 103.102.31.18.
Si les signes sont là, on sort d'abord l'appareil du réseau et on conserve les journaux, la réparation vient ensuite. Une remise aux réglages d'usine supprime le compte de l'attaquant, mais aussi les traces, et tout mot de passe ou clé stocké sur ce routeur doit être considéré comme connu d'un tiers.
Le premier réflexe est de changer le mot de passe administrateur, et à lui seul il ne règle rien. Un compte créé par quelqu'un d'autre reste, une clé SSH ajoutée à un utilisateur existant reste, et avec eux les scripts, planificateurs, règles de pare-feu et tunnels écrits dans la configuration pendant que l'attaquant avait les droits d'administrateur. D'où la recommandation : passer en revue toute la configuration, ou la reconstruire à partir d'une sauvegarde antérieure à l'exposition.
Au bureau et à la maison, le risque n'a pas le même visage. Un opérateur ou une entreprise garde en général l'administration sur une interface séparée, et un nouveau compte se voit dans la supervision : le danger tient surtout au délai avant la prochaine fenêtre de maintenance. Sur un routeur domestique ou de petite structure, le SSH est plus souvent ouvert à la main pour l'accès distant, sans supervision derrière, et personne ne lit le journal tant que rien ne casse.
Quelles versions de RouterOS sont corrigées
| Branche | Version corrigée |
|---|---|
| Stable | 7.24.2 |
| Long-term (7.x) | 7.23.4 |
| Long-term (6.x) | 6.49.21 |
| Beta | 7.25beta3 |
Si la mise à jour n'est pas possible tout de suite, la mesure intermédiaire consiste à cesser de répondre aux inconnus : désactiver SSH et WebFig ou les restreindre à une adresse d'administration, et vérifier que le routeur ne les publie pas à tout internet. Les modèles domestiques bloquent les ports d'administration côté WAN par défaut, les appareils exposés sont donc surtout ceux dont le port a été ouvert exprès, souvent pour joindre le routeur depuis l'extérieur.
Ce que cela change pour un VPN à la maison
MikroTik n'est pas seulement une marque de bureau. Les petits hEX et hAP servent souvent de point VPN personnel à la maison, avec WireGuard, IPsec ou L2TP montés directement sur le routeur, et l'accès distant en SSH est précisément la raison pour laquelle le port finit ouvert. Quand le routeur est le serveur VPN, celui qui tient le routeur tient le tunnel : il voit ce qui sort du tunnel, peut ajouter ses propres pairs et observer le trafic de tous les appareils derrière. Une application VPN commerciale sur un portable chiffre toujours le trafic de ce portable vers le fournisseur, mais elle ne nettoie pas un routeur qui porte déjà le compte de quelqu'un d'autre.
