Un routeur MikroTik exposé sur Internet, un service SSH ouvert par défaut, et en quelques secondes, un attaquant crée un compte administrateur sans clé privée légitime. Ce scénario, documenté par CERT Polska sous le nom de MikroTrick, n’est pas théorique. Il a été observé en production dès le 2 septembre 2026, un jour avant la publication des correctifs par MikroTik.
Les failles critiques dans les routeurs domestiques ne sont pas nouvelles, mais la rapidité d’industrialisation de cette chaîne d’attaque change la donne.
A découvrir également : Le chiffrement des emails gagne du terrain chez les particuliers
MikroTrick : anatomie d’une prise de contrôle de routeur sans mot de passe
On parle ici de deux vulnérabilités distinctes qui, combinées, forment une chaîne d’exploitation redoutable. La première permet à un attaquant de s’authentifier via SSH sans posséder la clé RSA privée de l’utilisateur ciblé. Concrètement, le mécanisme de vérification d’identité de RouterOS accepte une authentification illégitime.
La seconde faille, CVE-2026-86060, est une élévation de privilèges SSH. Une fois connecté avec un compte standard, l’attaquant escalade ses droits jusqu’au niveau administrateur. CERT Polska a baptisé cette combinaison MikroTrick.
A lire en complément : Les sauvegardes automatiques protègent contre la perte de données
Le résultat en conditions réelles : des comptes très privilégiés (par exemple un compte nommé « ops ») créés sur les appareils compromis, des modifications de configuration persistantes, et un accès qui subsiste tant que l’administrateur n’a pas mené une investigation complète et reconstruit le système.
Exploitation avant le correctif : la fenêtre d’attaque des routeurs MikroTik
Ce qui distingue MikroTrick de beaucoup de vulnérabilités documentées, c’est la chronologie. Les analyses confirment que l’exploitation a commencé au moins un jour avant la publication du correctif. Le 2 septembre 2026, des attaquants ciblaient déjà des routeurs accessibles sur Internet. MikroTik a publié ses mises à jour d’urgence le 3 septembre, dans les versions 7.25beta3, 7.24.2, 7.23.4 et 6.49.21 de RouterOS.
Ce décalage d’un jour peut sembler court. En pratique, sur un parc de routeurs domestiques rarement mis à jour manuellement, la fenêtre réelle d’exposition se compte en semaines, voire en mois. La majorité des utilisateurs ne consultent pas les bulletins de sécurité de leur équipement réseau.
Vérifier si un routeur MikroTik est concerné
Avant de paniquer, on peut poser un diagnostic rapide. Voici les points à contrôler sur un routeur MikroTik :
- Vérifier la version de RouterOS installée via l’interface d’administration : toute version antérieure à 7.24.2 (branche stable) ou 6.49.21 (branche legacy) est vulnérable
- Chercher dans la liste des utilisateurs un compte inconnu (le nom « ops » a été observé sur des appareils compromis, mais d’autres noms sont possibles)
- Examiner les règles de pare-feu et les modifications de configuration récentes qui n’ont pas été effectuées par l’administrateur légitime
- Vérifier si le service SSH est exposé sur l’interface WAN : c’est le vecteur d’attaque principal de MikroTrick
Si un compte suspect existe, une simple mise à jour ne suffit pas. Il faut reconstruire la configuration depuis zéro, car l’attaquant a pu installer des règles persistantes.
Routeurs Tenda et Inteno : d’autres failles critiques documentées
MikroTik n’est pas un cas isolé. Plusieurs vulnérabilités touchant des routeurs domestiques d’autres marques ont été référencées dans les bases CVE ces derniers mois. Les routeurs Tenda, notamment le modèle AC1206, sont concernés par les CVE-2026-82694 et CVE-2026-82693, des failles qui permettent l’exécution de code à distance ou l’injection de commandes via l’interface d’administration.
Côté Inteno, des chercheurs de F-Secure avaient déjà documenté une vulnérabilité permettant à un attaquant d’installer son propre firmware sur certains modèles comme l’EG500. L’appareil continue de fonctionner normalement en apparence, mais des portes dérobées permettent de lire tout le trafic non chiffré passant par le routeur, y compris les communications entre appareils du réseau local.
Ces failles partagent un point commun : elles ciblent des équipements dont les mises à jour firmware dépendent entièrement de l’initiative de l’utilisateur, et parfois du bon vouloir du fabricant à publier un correctif.
Sécuriser son réseau domestique : les actions concrètes qui comptent
On ne va pas répéter les conseils génériques sur les mots de passe. Les failles décrites ici contournent précisément l’authentification, ce qui rend le mot de passe complexe insuffisant comme seule protection. Voici ce qui fait réellement la différence sur le terrain :
- Désactiver les services d’administration distants (SSH, Telnet, Winbox) sur l’interface WAN si on n’en a pas un besoin opérationnel quotidien
- Activer les mises à jour automatiques du firmware quand le routeur le permet, ou planifier une vérification mensuelle manuelle
- Segmenter le réseau local en isolant les appareils connectés (caméras, objets IoT) du réseau principal par un VLAN ou un réseau invité
- Surveiller les journaux de connexion du routeur pour détecter des accès inhabituels ou la création de comptes non autorisés
Les retours varient sur ce point, mais restreindre SSH à une liste d’adresses IP autorisées reste la mesure la plus efficace contre les attaques opportunistes qui scannent des plages entières d’adresses publiques.
Réglementation européenne et obligation de signalement
Le contexte réglementaire évolue aussi. Les nouvelles règles européennes de cybersécurité imposent désormais aux fabricants de routeurs de signaler aux autorités toute vulnérabilité activement exploitée. Cette obligation de transparence devrait, à terme, réduire le délai entre la découverte d’une faille et la disponibilité d’un correctif pour les utilisateurs finaux.
La chaîne MikroTrick illustre un problème structurel : les routeurs domestiques restent parmi les appareils les moins surveillés d’un réseau, alors qu’ils en contrôlent l’intégralité du trafic. Mettre à jour son routeur est aussi urgent que mettre à jour son système d’exploitation, et la plupart des foyers n’y pensent simplement jamais.
