Une chaîne de vulnérabilités critiques dans MikroTik RouterOS permet de prendre le contrôle administratif des routeurs exposés via SSH à Internet, sans disposer des identifiants privés valides de l’utilisateur. CERT Polska a nommé cette attaque MikroTrick et confirme qu’elle est déjà activement exploitée. Le problème combine une faille dans la validation des clés RSA avec une seconde vulnérabilité d’élévation de privilèges, ce qui incite les administrateurs à mettre à jour RouterOS et à examiner les appareils potentiellement compromis.

Les clés MikroTrick en 20 secondes

• MikroTrick combine CVE-2026-67276 et CVE-2026-86060, toutes deux critiques.
• La première vulnérabilité permet de contourner l’authentification SSH avec certaines clés RSA.
• La seconde peut transformer cette session en un accès administratif complet.
• Des attaques ont été observées depuis au moins le 02/09/2026.
• Les administrateurs doivent mettre à jour RouterOS et rechercher des indicateurs comme -2 et le compte ops.

Le risque concerne particulièrement les routeurs dont le service SSH est accessible directement depuis Internet ou depuis des réseaux ne devant pas avoir accès à la gestion administrative. Un MikroTik protégé par des règles de pare-feu limitant l’accès SSH à un réseau de gestion spécifique présente une surface d’attaque nettement inférieure, même si la mise à jour reste fortement recommandée.

L’importance de cet incident réside dans le fait que l’attaque n’est désormais plus purement théorique. CERT Polska a confirmé une exploitation réelle, avec des traces d’activité antérieures à la publication des patches, ce qui a conduit à considérer cette chaîne comme un cas de jour zéro.

CVE-2026-67276 brise l’authentification SSH basée sur RSA

Le premier élément de MikroTrick est CVE-2026-67276, évalué à 9,2 en CVSS.

Cette faille se situe dans le processus de vérification que RouterOS effectue sur certaines clés publiques RSA lors d’une connexion SSH. Dans une authentification correctement implémentée, le serveur ne doit pas se contenter de vérifier que la clé publique correspond à celle configurée pour l’utilisateur, mais doit aussi valider cryptographiquement que le client possède la clé privée correspondante.

Selon l’analyse technique publiée, RouterOS ne validerait pas correctement tous les paramètres impliqués dans cette vérification.

Pour exploiter la vulnérabilité, l’attaquant doit connaître :

• un nom d’utilisateur valide ;
• les informations publiques associées à la clé RSA autorisée de cet utilisateur ;
• un accès réseau au service SSH du routeur.

Avec ces éléments, il peut construire une clé manipulée qui passe la vérification de RouterOS sans avoir la clé privée réelle.

Le résultat est une faussement authentifiée SSH.

Cela ne signifie pas qu’une connexion anonyme pourrait simplement entrer avec un mot de passe vide. La vulnérabilité dépend d’un comportement défectueux dans la validation RSA et de la possession de certains éléments publics liés à l’utilisateur visé.

Le second composant, CVE-2026-86060, permet d’élever les privilèges initialement obtenus.

En enchaînant ces deux vulnérabilités, une session créée via la premier peut aboutir à un contrôle total du routeur, permettant de modifier presque tous ses paramètres.

Cela ouvre la voie à la création d’utilisateurs supplémentaires, l’ajout de clés SSH, la modification des règles de pare-feu, l’installation de scripts, l’activation de proxies, la configuration de tunnels ou encore la modification du routage du trafic.

Les traces inhabituelles laissées par les attaques sur RouterOS

L’un des aspects très utiles pour les équipes de sécurité est que l’exploitation détectée jusqu’à présent peut laisser des indicateurs relativement reconnaissables.

Parmi eux, la présence d’un utilisateur anormal :

-2

Une tentative échouée peut être enregistrée avec une ligne du type :

login failure for user -2 from via ssh

Dans d’autres cas, on peut voir une modification dans /system history associée à une session du genre :

ssh:-2@

La valeur -2 ne correspond pas à un compte classique que l’administrateur pourrait attendre dans une installation standard de RouterOS.

Sa présence, notamment lors de changements de configuration, doit être considérée comme un indicateur nécessitant une investigation immédiate.

Les attaques confirmées ont également impliqué la création d’un compte nommé :

ops

Cependant, il ne suffit pas de rechercher ces deux noms pour supposer que le routeur n’a pas été compromis ; les logs peuvent avoir été supprimés, tournés ou ne plus contenir d’éléments liés à l’intrusion. Il est donc essentiel d’étendre la vérification à la configuration complète du système.

Parmi les éléments à inspecter, figurent :

• /user pour détecter des comptes inconnus ;
• les clés SSH associées aux utilisateurs ;
• les scripts et planificateurs (schedulers) ;
• les règles de pare-feu nouvelles ou modifiées ;
• les services récemment activés ;
• les proxies et tunnels ;
• la configuration de sniffing ;
• les changements imprévus dans le routage ;
• les configurations persistantes permettant de restaurer l’accès ultérieurement.

Deux adresses IP, 82.192.72[.]4 et 103.102.31[.]18, ont également été associées à cette campagne.

La première aurait hébergé plusieurs fichiers liés à cette activité, notamment ftpsrv.py, launch.sh et serve.py.

Ces indicateurs peuvent contribuer à une recherche dans les logs, systèmes SIEM ou outils de surveillance, mais ne doivent pas être les seuls critères pour exclure une compromission.

Versions corrigées par MikroTrick et recommandations après mise à jour

MikroTik a publié des correctifs au début septembre.

Les branches recommandées comme version minimale sont :

RouterOS 7.23.5, sortie ultérieure, inclut également ces correctifs.

Pour un administrateur ayant un SSH accessible publiquement, la priorité doit être de mettre à jour vers une version corrigée ou une version plus récente compatible avec le matériel.

Cependant, le correctif ne supprime pas automatiquement la persistance que l’attaquant aurait pu introduire avant la mise à jour. Une fois compromis, un routeur peut rester sous contrôle même après correction de la vulnérabilité initiale.

En cas de suspicion d’intrusion, la réponse doit être plus large :

1. Isoler le périphérique des réseaux non fiables ;
2. Conserver les logs et la configuration pour analyse forensic ;
3. Vérifier les comptes, clés, scripts, règles et services ;
4. Changer les identifiants et secrets potentiellement exposés ;
5. Restaurer le routeur aux paramètres d’usine si une compromission est confirmée ;
6. Recréer la configuration à partir d’une sauvegarde fiable ;
7. Appliquer ensuite les dernières mises à jour de RouterOS.

Restaurer une sauvegarde complète du routeur compromis peut être risqué si cette copie contient déjà des comptes, scripts ou modifications malveillantes.

En attendant la mise à jour, il est conseillé de supprimer l’accès SSH depuis Internet et de le limiter aux adresses ou réseaux de gestion contrôlés.

Il en va de même pour d’autres services d’administration inutilément exposés, tels que WWW/SSL ou fonctionnalités comme bandwidth-test.

D’un point de vue architectural, cet incident rappelle la vulnérabilité liée à la publication directe d’interfaces de gestion d’infrastructure.

SSH est un protocole conçu pour une gestion à distance sécurisée, mais cela ne garantit pas automatiquement la sécurité d’un service SSH accessible depuis tout Internet. Une vulnérabilité préalable à l’authentification peut annuler l’effort fourni par des mots de passe robustes ou des clés cryptographiques.

Limiter l’accès à la gestion via VPN, listes de contrôle d’accès, pare-feu ou réseaux séparés réduit considérablement l’exposition même en cas de faille critique dans le logiciel.

MikroTrick est particulièrement inquiétant car il combine deux capacités que tout attaquant recherche souvent sur un périphérique périmétrique : entrée sans authentification valide et escalade jusqu’à la gestion complète.

Un routeur compromis occupe une position privilégiée dans un réseau. Il peut surveiller le trafic, rediriger des connexions, modifier les DNS, créer des tunnels vers des infrastructures externes ou faire office de point d’entrée pour d’autres systèmes internes.

C’est pourquoi, dans ce contexte, la mise à jour de RouterOS ne doit être que la première étape. La seconde consiste à vérifier si une intrusion a déjà eu lieu.

Questions fréquentes

Qu’est-ce que MikroTrick ?

MikroTrick est la chaîne d’attaque identifiée par CERT Polska regroupant CVE-2026-67276 et CVE-2026-86060. Ensemble, elles permettent de contourner l’authentification SSH et d’obtenir des privilèges administratifs sur RouterOS.

Quels routeurs MikroTik sont les plus exposés ?

Les appareils avec un SSH accessible directement depuis Internet ou depuis des réseaux non fiables présentent le plus grand risque. Ceux dont le pare-feu limite l’accès administratif à un réseau spécifique réduisent la surface d’attaque.

Que signifie trouver ssh:-2 dans RouterOS ?

L’identifiant -2 a été observé lors de l’exploitation de MikroTrick. Si associé à des changements d’utilisateurs, clés, règles ou tunnels, il faut considérer le système comme potentiellement compromis.

Une simple mise à jour vers RouterOS 7.24.2 suffit-elle ?

La mise à jour corrige la vulnérabilité connue mais ne supprime pas forcément les modifications laissées par un attaquant. En cas de suspicion, il revient à vérifier la configuration et à envisager une réinitialisation complète du périphérique.