# MikroTrick : trois failles MikroTik enchaînées pour prendre le contrôle de routeurs exposés

> Le CERT polonais confirme une exploitation active de RouterOS, avec plus de 120 000 appareils accessibles depuis l'extérieur

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/mikrotik-routeros-failles-exploitees-mikrotrick
- Auteur : Kelvyn
- Publié le : 7 septembre 2026 (2026-09-07T12:15:00.000Z)
- Rubrique : Cybersécurité
- Sujets : Cybersécurité, Vulnérabilité, MikroTik, réseau
- Langue : français

Le CERT polonais (**CERT Polska**) a publié le 5 septembre une alerte sur une chaîne d'attaque qu'il baptise **MikroTrick**, combinant trois vulnérabilités distinctes de RouterOS, le système d'exploitation qui équipe l'immense majorité des routeurs MikroTik. Selon l'agence, l'exploitation est *active* : des attaquants prennent déjà le contrôle complet d'appareils dont le service SSH est accessible depuis Internet.

## Trois failles, une prise de contrôle totale

La chaîne s'appuie sur trois failles cataloguées séparément. **CVE-2026-67276** permet de contourner l'authentification SSH grâce à une validation incomplète de la clé RSA : un attaquant qui connaît le nom d'utilisateur et le module public associé peut ouvrir une session sans détenir la clé privée légitime. **CVE-2026-86060** exploite ensuite des noms d'utilisateur forgés pour obtenir une élévation de privilèges jusqu'aux droits d'administration complets. **CVE-2026-67277**, enfin, provoque une fuite de mémoire noyau ou un plantage du routeur via le service bandwidth-test, qui n'exige aucune authentification.

Prises isolément, ces failles sont gênantes. Enchaînées, elles donnent un accès administrateur total à un routeur exposé, sans qu'aucun mot de passe ni clé privée légitime ne soit nécessaire. Dans son [bulletin](https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/), CERT Polska écrit que « attackers are exploiting this combination of vulnerabilities to take full control of devices whose SSH service is accessible from public networks » — les attaquants exploitent cette combinaison de vulnérabilités pour prendre le contrôle total d'appareils dont le service SSH est accessible depuis des réseaux publics.

## Plus de 120 000 routeurs exposés, pas nécessairement compromis

Le CERT évalue à **122 500** le nombre d'appareils MikroTik dont le SSH est ouvert publiquement, un décompte réalisé le 5 septembre. Ce chiffre mesure une *exposition*, pas une compromission confirmée : aucun décompte officiel du nombre de routeurs réellement piratés n'a été communiqué. Deux adresses IP ont toutefois été identifiées comme sources de l'exploitation en cours : 82.192.72.4 et 103.102.31.18.

Les versions concernées sont RouterOS 7.25 (avant la beta 3), 7.24 (avant la 7.24.2), 7.23 (avant la 7.23.4) et la branche de support étendu 6.49 (avant la 6.49.21). [MikroTik a publié un correctif](https://mikrotik.com/supportsec/september-2026-vulnerability) le 3 septembre, qui intègre au passage un mécanisme de détection de compromission au démarrage — utile pour vérifier après coup si un appareil a déjà été touché avant la mise à jour.

> Si vous administrez un routeur MikroTik accessible depuis Internet : mettez à jour RouterOS vers une version corrigée, désactivez l'accès SSH public ou restreignez-le par liste d'adresses autorisées, et vérifiez le mécanisme de détection de compromission intégré au correctif.

Détail à noter avec prudence : CERT Polska indique avoir été assisté dans cette recherche par deux systèmes qu'il nomme GPT-5.5-cyber et GPT-5.6-sol. L'agence ne détaille pas la nature exacte de cette assistance, et rien n'indique qu'elle change la fiabilité des conclusions techniques — mais c'est un signe supplémentaire que l'analyse de vulnérabilités assistée par IA sort du stade expérimental dans les CERT nationaux.

Cette alerte s'ajoute à une série déjà longue de failles activement exploitées ce mois-ci : [Citrix NetScaler](https://klynlabs.eu/articles/citrix-netscaler-faille-authentification-exploitee), [Chrome](https://klynlabs.eu/articles/chrome-zero-day-v8-corrige-faille-exploitee) ou encore [PaperCut](https://klynlabs.eu/articles/papercut-failles-exploitees-ecoles-universites-identifiants) ont connu le même sort en quelques semaines. Pour les équipements réseau exposés en périphérie, la fenêtre entre publication d'un correctif et exploitation massive continue de se compter en jours, pas en semaines.

## À retenir

- Trois failles RouterOS (CVE-2026-67276, -86060, -67277) enchaînées sous le nom « MikroTrick » permettent une prise de contrôle totale d'un routeur MikroTik.
- CERT Polska confirme une exploitation active ; 122 500 appareils ont leur SSH exposé publiquement au 5 septembre, un chiffre qui mesure l'exposition et non la compromission.
- Le correctif est disponible depuis le 3 septembre pour RouterOS 7.25, 7.24, 7.23 et 6.49 ; il inclut une détection de compromission au démarrage.
- Recommandation immédiate : mettre à jour, fermer l'accès SSH public ou le restreindre, vérifier les signes de compromission.

## Source

[BleepingComputer, « Hackers exploit new MikroTik RouterOS flaws to hijack routers »](https://www.bleepingcomputer.com/news/security/hackers-exploit-new-mikrotik-routeros-flaws-to-hijack-routers/) ; [bulletin CERT Polska](https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/) ; [avis de sécurité MikroTik](https://mikrotik.com/supportsec/september-2026-vulnerability).

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/mikrotik-routeros-failles-exploitees-mikrotrick