Une faille notée 9,3 sur 10 vient de frapper l’un des équipementiers réseau les plus discrets mais les plus répandus d’Europe de l’Est et du pourtour méditerranéen. La CVE-2026-67276, révélée le 5 septembre 2026 par le CERT Polska, ne touche pas un serveur web anecdotique : elle brise la vérification de signature cryptographique qui protège l’authentification SSH sur RouterOS, le système d’exploitation de MikroTik. Résultat, un attaquant distant peut ouvrir un canal de commande SSH en se faisant passer pour un utilisateur autorisé, sans posséder la moindre clé valide.
Le calendrier ajoute une dimension politique à l’affaire. Cette faille critique tombe six jours après l’entrée en vigueur de l’article 14 du Cyber Resilience Act européen, qui impose désormais aux fabricants un délai de 24 heures pour signaler toute vulnérabilité activement exploitée. RouterOS devient ainsi le premier grand test grandeur nature de ce nouveau régime de déclaration obligatoire, avec des sanctions qui peuvent grimper jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.
Que sait-on exactement de la CVE-2026-67276 ?
Le CERT Polska a publié son avis le 5 septembre 2026, référençant la CVE-2026-67276 dans son bulletin consacré aux vulnérabilités de RouterOS. La fiche technique détaillée, hébergée par cybersecurity-help.cz sous l’identifiant VU#147166, date sa publication du 6 septembre 2026 et classe la sévérité comme critique.
Le problème se situe dans la logique de correspondance des clés autorisées lors de l’authentification SSH. RouterOS échoue à vérifier correctement la signature cryptographique présentée par un client, ce qui permet à un attaquant réseau d’ouvrir une session en tant qu’utilisateur autorisé sans détenir la clé privée correspondante. La faille est classée sous CVSS v4 avec un score de 9,3, un niveau atteint uniquement par les vulnérabilités exploitables à distance, sans authentification préalable et sans interaction de la victime.
MikroTik n’a pas communiqué publiquement de chiffre sur le nombre d’appareils déjà touchés en Europe. Mais le signal envoyé par les autorités polonaises, relayé dans la foulée par plusieurs bulletins de threat intelligence européens début septembre, indique que l’exploitation est déjà active sur le terrain, pas seulement documentée en laboratoire.
Une faille de vérification de signature, pas un simple bug d’accès
Il faut distinguer cette CVE d’un classique contournement d’authentification par mot de passe. Ici, le mécanisme cassé est directement cryptographique : SSH repose sur des paires de clés publique/privée et sur une signature numérique que le serveur doit vérifier avant d’accorder l’accès. Quand cette vérification est mal implémentée, comme c’est le cas sur RouterOS, la brique de confiance qui protège des millions de connexions administratives s’effondre silencieusement.
La logique de correspondance des clés autorisées
Le fichier authorized_keys de SSH associe des clés publiques à des comptes précis. Le serveur doit s’assurer que la signature envoyée par le client correspond bien à l’une de ces clés avant d’ouvrir la session. Sur RouterOS, cette étape de correspondance et de vérification de signature contient l’erreur logique exploitée par la CVE-2026-67276, ce qui permet à un tiers de contourner le contrôle sans jamais fournir de clé privée légitime.
Ce type de défaut n’est pas propre à MikroTik. Il rappelle les travaux menés par NCC Group sur la bibliothèque x/crypto/ssh du langage Go, qui ont abouti à neuf CVE distinctes en 2026, corrigées dans la version 0.52.0 publiée le 22 mai 2026. Parmi elles, la CVE-2026-39828 concernait précisément un contournement des restrictions de certificats, un cousin direct du problème observé sur RouterOS.
CVSS 9,3 : anatomie d’un vecteur de risque maximal
Le vecteur CVSS v4 publié par cybersecurity-help.cz résume à lui seul la dangerosité de la faille. Il indique une exploitation possible depuis le réseau, sans complexité d’attaque particulière, sans compte préalable et sans qu’aucune action de la victime ne soit requise.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
Score global : 9.3 (Critique)
AV:N -> Attaque depuis le réseau
AC:L -> Complexité d'attaque faible
PR:N -> Aucun privilège requis
UI:N -> Aucune interaction utilisateur
VC:H -> Impact confidentialité élevé
VI:H -> Impact intégrité élevé
VA:L -> Impact disponibilité faibleLes valeurs VC:H et VI:H signifient qu’un attaquant qui exploite la faille obtient un accès en lecture et en écriture quasi total sur la configuration du routeur et sur le trafic qu’il traite. L’impact limité sur la disponibilité (VA:L) s’explique par le fait que l’objectif de l’attaquant est de rester discret et de conserver l’accès, pas de faire tomber l’appareil.
Exploitation confirmée : ce que dit le CERT Polska
Point crucial pour les équipes de sécurité, cette CVE n’est pas restée au stade théorique. La fiche technique publiée début septembre 2026 précise que la disponibilité d’un exploit fonctionnel est confirmée et que la vulnérabilité fait l’objet d’une exploitation active sur le terrain. Cela change radicalement le calcul de priorité pour tout administrateur réseau qui exploite RouterOS, qu’il s’agisse d’un fournisseur d’accès régional ou d’une PME qui route son trafic interne.
Ce constat s’inscrit dans un climat déjà tendu début septembre 2026. Le 3 septembre, un point de situation de la Cloud Security Alliance signalait la CVE-2026-19516 (CVSS 9,1), touchant une image Docker téléchargée environ 1,9 million de fois. Le 7 septembre, le rapport hebdomadaire de Check Point Research documentait deux failles zero-day exploitées chez SonicWall sur les passerelles SMA 1000, l’une notée CVSS 10,0 en pré-authentification. La même semaine, les vulnérabilités PaperCut CVE-2026-82078 et CVE-2026-81578 étaient ajoutées au catalogue KEV de la CISA après des campagnes de vol d’identifiants visant des écoles et universités aux États-Unis et en Europe.
MikroTik RouterOS, un parc mondial difficile à cerner précisément
Contrairement à Cisco ou Fortinet, MikroTik ne publie pas de statistiques détaillées sur sa base installée en Europe. Selon le rapport partenaires 2025 du fabricant letton, plus de 20 millions d’appareils RouterOS ont été expédiés dans le monde, avec une adoption particulièrement forte en Europe de l’Est, en Amérique latine, en Afrique et en Asie du Sud-Est. Sur le marché mondial du matériel réseau, les estimations varient entre 2,5 % (données 6sense) et près de 7 % (données Enlyft) de part de marché pour MikroTik, loin derrière Cisco qui conserve environ 30,9 % du secteur.
Un autre indicateur, la part de discussion ou mindshare dans la catégorie des routeurs, dessine une tendance à surveiller : MikroTik pesait environ 22,2 % de mindshare en décembre 2025, un chiffre tombé à 17,3 % en juillet 2026, contre 24,2 % un an plus tôt. Cette érosion coïncide avec une année marquée par plusieurs incidents de sécurité successifs sur la plateforme, dont la CVE-2026-67276 constitue le point culminant en sévérité.
Pour la France et l’Europe de l’Ouest, l’exposition reste moins documentée que dans les zones citées plus haut, mais elle est loin d’être nulle. Les hébergeurs, les intégrateurs réseau et les petites structures qui utilisent RouterOS pour son rapport prix-performance figurent parmi les premiers concernés par les correctifs à déployer en urgence.
Tableau comparatif : la CVE-2026-67276 face aux grandes failles réseau de 2024-2026
Pour mesurer la place de cette faille dans le paysage récent, il faut la comparer aux autres compromissions majeures touchant l’authentification et la cryptographie des équipements réseau depuis 2024. Le tableau ci-dessous rassemble les cas documentés les plus significatifs.
| Faille | Produit | CVSS | Date de publication | Mécanisme cassé | Exploitation confirmée |
|---|---|---|---|---|---|
| CVE-2026-67276 | MikroTik RouterOS | 9.3 (v4) | 5-6 sept. 2026 | Vérification de signature SSH | Oui, active |
| CVE-2024-55591 | Fortinet FortiOS/FortiProxy | Critique | 14 janv. 2025 | Contournement d’authentification via websocket Node.js | Oui, en masse fin 2024 |
| CVE-2025-32433 | Erlang/OTP SSH | Critique | 9 juin 2025 | RCE non authentifié via SSH | Documentée |
| CVE-2025-26465 | OpenSSH (client) | Modérée à élevée | Début 2025 | Usurpation de serveur via VerifyHostKeyDNS | Théorique (MITM requis) |
| Cluster 2026 (9 CVE) | Go x/crypto/ssh | Variable | Corrigées le 22 mai 2026 | Contournement de certificats, clés FIDO/U2F, agent SSH | Non signalée à grande échelle |
Cette lecture chronologique montre une constante : depuis 2024, les attaquants ciblent en priorité les mécanismes d’authentification et de vérification cryptographique des équipements qui gèrent l’accès distant, pare-feu, routeurs, daemons SSH, plutôt que les applications qu’ils protègent. La CVE-2026-67276 s’inscrit dans cette lignée, avec la particularité d’être découverte dans les jours qui suivent l’entrée en application du nouveau cadre réglementaire européen.
Le Cyber Resilience Act change la donne pour les fabricants
Depuis le 11 septembre 2026, l’article 14 du Cyber Resilience Act européen est officiellement applicable. Ce texte impose à tout fabricant de produits comportant des éléments numériques, vendus sur le marché de l’Union, de notifier toute vulnérabilité activement exploitée dont il a connaissance. La notification doit partir simultanément vers l’ENISA et vers le CSIRT coordinateur désigné dans l’État membre où le fabricant a son établissement principal.
Qui est concerné par cette obligation
Le champ d’application est volontairement large. Il couvre tous les produits à éléments numériques déjà présents sur le marché européen, y compris ceux commercialisés avant le 11 décembre 2027, date d’entrée en application complète du règlement. Un fabricant non européen qui vend en France ou en Allemagne tombe donc sous le coup de cette obligation dès lors que son produit circule dans l’Union, ce qui inclut potentiellement MikroTik pour ses ventes européennes de RouterOS.
24 heures, 72 heures, 14 jours : le calendrier de déclaration imposé
Le texte détaille un enchaînement précis de délais que chaque fabricant doit désormais respecter dès qu’il a connaissance d’une exploitation active. Ce calendrier structure la réponse attendue, de l’alerte initiale jusqu’au rapport final une fois le correctif disponible.
| Étape | Délai | Destinataire | Contenu attendu |
|---|---|---|---|
| Alerte précoce | 24 heures | ENISA + CSIRT coordinateur | Signalement initial de l’exploitation active |
| Notification principale | 72 heures | ENISA + CSIRT coordinateur | Détails techniques, États membres concernés |
| Rapport final (vulnérabilité exploitée) | 14 jours après correctif | ENISA + CSIRT coordinateur | Mesures correctives ou d’atténuation |
| Rapport final (incident grave) | 1 mois après la notification à 72h | ENISA + CSIRT coordinateur | Analyse complète de l’incident |
La fenêtre de 24 heures s’applique déjà, en théorie, à un cas comme la CVE-2026-67276 puisqu’elle est activement exploitée. Reste à savoir comment MikroTik, société basée hors de l’Union européenne mais active sur le marché communautaire, va gérer concrètement cette contrainte pour un incident révélé quelques jours seulement après l’entrée en vigueur du texte.
Jusqu’à 15 millions d’euros : les sanctions prévues par le CRA
Le régime de sanctions du Cyber Resilience Act suit une logique à trois paliers, calquée sur l’architecture du RGPD. Le non-respect des exigences essentielles de cybersécurité de l’annexe I, ainsi que des obligations des articles 13 et 14 sur la déclaration des vulnérabilités, expose à une amende pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
| Type de manquement | Plafond en euros | Plafond en % du CA mondial |
|---|---|---|
| Exigences essentielles (Annexe I) et obligations des art. 13-14 | 15 000 000 € | 2,5 % |
| Autres obligations du règlement | 10 000 000 € | 2 % |
| Informations fausses ou incomplètes fournies aux autorités | 5 000 000 € | 1 % |
Une exception pour les micro-entreprises
Le texte prévoit un allègement ciblé pour les plus petites structures. L’article 64, paragraphe 10, point a, écarte spécifiquement l’amende financière pour les micro-entreprises et petites entreprises qui manqueraient au seul délai de 24 heures pour l’alerte précoce. Les autres obligations du règlement restent en revanche pleinement applicables, y compris pour ces structures.
Contexte historique : dix ans de failles cryptographiques dans les équipements réseau
La CVE-2026-67276 ne sort pas de nulle part. Le paysage des failles réseau critiques suit une trajectoire cohérente depuis plusieurs années. Le rapport ENISA sur le paysage des menaces, qui analyse 4 875 incidents recensés entre juillet 2024 et juin 2025, souligne explicitement que des groupes d’attaquants comme UNC3886 ont ciblé des routeurs Juniper via l’exploitation de failles zero-day et n-day pour compromettre des équipements réseau centraux.
Le rapport 2026 de VulnCheck consacré aux équipements en périphérie de réseau apporte des chiffres complémentaires qui éclairent le cas RouterOS. Selon cette étude, 42,5 % des vulnérabilités exploitées en 2025 concernaient des appareils déjà en fin de vie ou proches de la fin de vie. Les routeurs grand public et les équipements réseau largement distribués représentent à eux seuls 56 % des vulnérabilités exploitées sur ce segment périphérique, et 65 % des failles exploitées par des réseaux de botnets touchent des produits en fin de vie. Seules 23,7 % des vulnérabilités identifiées figurent au catalogue KEV de la CISA, ce qui laisse une large zone d’ombre pour les défenseurs qui s’appuient uniquement sur cette liste.
De son côté, le rapport Forescout sur les équipements connectés les plus à risque en 2026 chiffre à 32 le nombre moyen de vulnérabilités par routeur ou switch analysé, cette catégorie représentant 34 % des appareils affichant les vulnérabilités les plus critiques sur les réseaux d’entreprise. Les routeurs ne sont donc pas un angle mort statistique, ils forment déjà l’une des catégories de matériel les plus exposées du parc informatique européen.
Impact sur le marché européen de la cybersécurité réseau
Pour les intégrateurs et les fournisseurs d’accès qui ont bâti leur infrastructure sur du matériel MikroTik, souvent choisi pour son rapport prix-performance face à Cisco ou Juniper, cette CVE arrive à un moment sensible. La conjonction d’une faille critique activement exploitée et d’une obligation légale de déclaration en 24 heures crée une pression opérationnelle inédite sur les équipes sécurité, qui doivent désormais documenter et remonter l’incident dans des délais très courts, sous peine de sanctions qui s’ajoutent au coût direct de la remédiation.
Cette pression réglementaire pourrait accélérer une tendance déjà amorcée : le déplacement progressif de la demande vers des équipementiers capables de démontrer un processus de déclaration de vulnérabilités mature et documenté. Cisco, avec son programme PSIRT établi de longue date, ou Fortinet, malgré son propre historique de failles critiques, disposent déjà de structures rodées pour absorber ce type d’obligation. Pour un acteur comme MikroTik, dont l’attrait commercial repose largement sur des prix compétitifs plutôt que sur un service de sécurité étoffé, se mettre au niveau du CRA représente un investissement organisationnel non négligeable.
Une épidémie de failles SSH en 2025-2026
SSH, protocole conçu dans les années 1990 pour sécuriser l’accès distant, traverse une période de scrutin technique intense. Sur la seule période 2025-2026, au moins treize vulnérabilités distinctes touchant des implémentations SSH majeures ont été documentées publiquement : neuf dans la bibliothèque Go x/crypto/ssh, deux dans OpenSSH, une dans le daemon SSH d’Erlang/OTP, et la CVE-2026-46595, une faille d’autorisation supplémentaire dans x/crypto/ssh signalée par Red Hat.
Replacé dans le contexte plus large de la production de CVE, ce chiffre reste modeste face aux 48 185 vulnérabilités publiées en 2025 toutes catégories confondues, un volume que Trend Micro projette autour de 66 000 pour l’année 2026. Mais la concentration de ces failles sur un protocole aussi central que SSH, utilisé pour administrer l’écrasante majorité des serveurs et équipements réseau du monde, justifie une attention particulière de la part des équipes sécurité, bien au-delà du seul cas RouterOS.
Comment se protéger dès maintenant face à la CVE-2026-67276
En attendant la disponibilité d’un correctif officiel confirmé par MikroTik, plusieurs mesures d’atténuation permettent de réduire immédiatement la surface d’exposition. La première consiste à désactiver l’accès SSH depuis les interfaces exposées publiquement et à le restreindre à des adresses IP de gestion identifiées, via des listes de contrôle d’accès sur le pare-feu intégré à RouterOS.
Étapes de mitigation immédiate
- Vérifier la version de RouterOS installée et consulter le bulletin CERT Polska pour les versions concernées
- Restreindre l’accès SSH aux seules adresses IP de gestion connues via les règles de pare-feu RouterOS
- Désactiver temporairement l’accès SSH distant si l’administration peut se faire localement
- Auditer les journaux de connexion pour repérer des sessions SSH inhabituelles ou des comptes créés récemment
- Préparer, pour les fabricants et intégrateurs concernés, la documentation nécessaire à une notification CRA en moins de 24 heures
Les équipes qui exploitent RouterOS en environnement critique, énergie, eau, télécoms, ont intérêt à traiter cette CVE avec la même urgence que les failles FortiOS ou SonicWall des mois précédents, plutôt que de la reléguer au rang de correctif secondaire pour un équipementier moins connu du grand public.
Prédictions : ce qui va changer d’ici la fin 2026 et en 2027
Plusieurs évolutions semblent probables dans les mois qui suivent la divulgation de cette faille et l’entrée en application du Cyber Resilience Act.
- MikroTik va devoir publier, sous la pression réglementaire et communautaire, un calendrier de correctifs plus transparent que par le passé pour conserver la confiance de ses distributeurs européens
- D’autres fabricants d’équipements réseau grand public vont être rattrapés par des obligations de déclaration en 24 heures dans les mois qui viennent, l’ENISA ayant désormais un mécanisme opérationnel pour centraliser ces signalements
- Le nombre de CVE touchant spécifiquement la vérification de signatures cryptographiques dans SSH devrait continuer d’augmenter en 2027, à mesure que les audits de sécurité se concentrent sur ce protocole après la vague 2025-2026
- Les intégrateurs européens vont accélérer la diversification de leurs fournisseurs réseau pour limiter leur dépendance à un seul équipementier en cas de faille critique récurrente
- Les premières amendes effectivement appliquées au titre de l’article 14 du CRA devraient être rendues publiques courant 2027, une fois les premiers dossiers de non-conformité instruits par les autorités nationales
Foire aux questions sur la CVE-2026-67276
Qu’est-ce que la CVE-2026-67276 exactement ?
Il s’agit d’une vulnérabilité critique de RouterOS, le système d’exploitation des routeurs MikroTik, qui résulte d’une vérification incorrecte de la signature cryptographique lors de l’authentification SSH. Elle porte un score CVSS v4 de 9,3 et permet à un attaquant distant d’ouvrir une session en tant qu’utilisateur autorisé sans posséder de clé valide.
La faille est-elle réellement exploitée ou seulement théorique ?
Les avis publiés début septembre 2026 confirment une exploitation active sur le terrain, pas uniquement une preuve de concept en laboratoire. C’est ce qui justifie l’urgence de la remédiation pour les administrateurs RouterOS.
Quels appareils RouterOS sont concernés ?
Le bulletin CERT Polska précise les versions affectées. Les administrateurs doivent vérifier leur version installée directement dans l’avis officiel avant d’appliquer un correctif ou une mesure d’atténuation.
Qu’impose exactement l’article 14 du Cyber Resilience Act ?
Il oblige les fabricants de produits à éléments numériques vendus dans l’Union européenne à notifier toute vulnérabilité activement exploitée à l’ENISA et au CSIRT coordinateur, avec une alerte précoce sous 24 heures, une notification technique sous 72 heures, puis un rapport final une fois le correctif disponible.
Quelles sanctions risque un fabricant qui ne respecte pas ce délai ?
Le non-respect des obligations essentielles, dont l’article 14, expose à une amende pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu. Les micro et petites entreprises bénéficient toutefois d’une exemption spécifique pour le seul dépassement du délai de 24 heures.
MikroTik est-il un acteur majeur du marché européen des routeurs ?
MikroTik détient une part mondiale du marché du matériel réseau estimée entre 2,5 % et 7 % selon la méthodologie, loin derrière Cisco. Le fabricant a toutefois expédié plus de 20 millions d’appareils dans le monde, avec une forte présence en Europe de l’Est.
Cette faille est-elle liée à d’autres incidents récents touchant SSH ?
Elle s’inscrit dans une série de vulnérabilités SSH documentées en 2025-2026, dont un ensemble de neuf CVE dans la bibliothèque Go x/crypto/ssh et plusieurs failles OpenSSH, ce qui traduit un examen technique renforcé de ce protocole d’accès distant.
Comment se protéger en attendant un correctif officiel ?
Il est recommandé de restreindre l’accès SSH aux adresses IP de gestion connues, de désactiver l’accès distant quand ce n’est pas nécessaire, et d’auditer les journaux de connexion pour détecter toute activité suspecte, en parallèle de la surveillance des bulletins officiels pour l’arrivée du correctif.
