Routeurs : 11 CVE critiques en septembre — D-Link, Totolink, Netis, WAVLINK

Onze vulnérabilités notées CVSS 9.1 à 9.9 ont été publiées entre le 8 et le 14 septembre 2026 sur des routeurs et points d'accès de quatre constructeurs. La plupart disposent d'un exploit public.

C'est le deuxième lot de ce type en trois semaines — nous avions couvert six CVE similaires fin août. Cette répétition est en soi l'information : ce n'est pas une vague, c'est le régime permanent de cette catégorie de matériel.

Mais ce lot-ci apporte un élément que le précédent n'avait pas : un fil conducteur technique entre deux constructeurs concurrents.

Les onze CVE

Le fil conducteur : un serveur web arrêté en 2005

Regarde les chemins vulnérables :

• Totolink A3002MU — les quatre CVE visent le composant nommé boa
• D-Link DWR-M921 — les deux CVE visent /boafrm/formDiskFormat et /boafrm/formDiskCreateShare

Deux constructeurs concurrents, deux gammes différentes, le même serveur web embarqué : Boa.

Boa est un serveur HTTP minimaliste conçu pour l'embarqué. Son développement s'est arrêté en 2005. Il n'a reçu aucun correctif de sécurité depuis vingt et un ans, et il n'en recevra jamais.

Il continue pourtant d'être livré dans des firmwares commercialisés en 2026, parce qu'il est repris tel quel dans des kits de développement fournis par les fabricants de puces, puis intégré par les constructeurs sans que quiconque ne se demande d'où vient le code.

Ce n'est pas un cas isolé — Boa a déjà été identifié comme composant récurrent dans des chaînes d'approvisionnement IoT compromises. Chaque nouvelle CVE boafrm est un rappel que le problème est structurel : il ne se corrige pas CVE par CVE, il se corrige en changeant de composant, ce qu'aucun de ces constructeurs ne fera sur du matériel déjà vendu.

Le préfixe boafrm dans une URL d'administration est donc un signal utile : il dit que l'équipement repose sur une base abandonnée depuis deux décennies.

Les trois CVE qui sortent du lot

Sept des onze sont des débordements de pile classiques dans des gestionnaires de formulaires. Trois méritent une attention particulière.

CVE-2026-61516 — Netis NX10 : demander le mot de passe administrateur

Netis NX10 firmware V4.0.1.5808 and V3.0.0.4142 contain an information disclosure vulnerability that allows unauthenticated attackers to retrieve the administrator password by sending a request to the sysinfo action in the web management interface without a valid session. Attackers can replay the exposed credential against the login handler to establish a fully authenticated administrator session.

Aucune corruption mémoire, aucun exploit à adapter à une architecture. L'attaquant demande poliment le mot de passe administrateur, et l'équipement le lui donne.

C'est la plus fiable des onze. Un débordement de pile peut échouer, faire planter l'équipement, nécessiter des ajustements selon la version exacte. Une divulgation d'information fonctionne du premier coup, silencieusement, et laisse l'attaquant avec une session administrateur parfaitement légitime — indiscernable d'une connexion normale dans les journaux.

CVE-2026-89009 — WAVLINK : ce n'est même pas l'interface web

WAVLINK WN535M1 and WN535M3 routers running firmware prior to M35M1_V250922 contain an unauthenticated arbitrary file write vulnerability that allows remote attackers to overwrite any file on the device by sending a crafted payload to the sync_server daemon on TCP port 13136. The daemon, which runs as root and requires no authentication, accepts a 100-byte filename field in its protocol header without path canonicalization, allowing attackers to supply an absolute path and write arbitrary content to overwrite startup scripts or credential stores to achieve persistent system compromise.

Trois éléments qui se cumulent :

1. Le service vulnérable n'est pas l'interface web mais un démon propriétaire sur le port TCP 13136. Un administrateur qui aurait restreint l'accès à l'interface d'administration ne serait pas protégé.
2. Il tourne en root et n'exige aucune authentification. Ce n'est pas un oubli de contrôle, il n'y a pas de contrôle du tout.
3. Il accepte un chemin absolu sans canonicalisation — donc écriture arbitraire n'importe où sur le système de fichiers.

La description nomme elle-même l'objectif : écraser les scripts de démarrage ou les magasins d'identifiants, pour une compromission persistante.

C'est aussi la seule du lot avec une version corrigée clairement identifiée : M35M1_V250922.

CVE-2026-90702 et 90703 — D-Link DWR-M921 : injection de commandes

Les deux seules injections de commandes système du lot, dans les fonctions de formatage de disque et de création de partage. Le PR:H indique des privilèges élevés requis — mais sur ces équipements, cela signifie simplement « être connecté à l'interface d'administration », ce que les identifiants par défaut rendent souvent trivial.

Une injection de commandes est plus directe qu'un débordement : pas de contrainte d'architecture, pas de contournement de protection mémoire. Elle fonctionne.

Le cas D-Link DIR-823G

CVE-2026-90680 vise le firmware 1.0.2B05_20181207. Lis la date encodée dans le nom : 7 décembre 2018.

Un firmware de 2018 fait toujours l'objet de recherches en sécurité en 2026, parce que des équipements le font toujours tourner. Le DIR-823G est un modèle d'entrée de gamme, largement diffusé, et très probablement hors support constructeur.

C'est le point qu'il faut retenir sur cette catégorie : la durée de vie du matériel dépasse largement la durée de support logiciel. Un routeur acheté il y a huit ans fonctionne parfaitement et ne signale jamais qu'il ne reçoit plus de correctifs.

Pour CVE-2026-90680, la fonction visée est strcpy dans /HNAP1/SetStaticRouteSettings — HNAP étant le protocole d'administration de D-Link, lui aussi historiquement problématique.

Versions

NVD n'expose de version corrigée que pour WAVLINK. Pour les autres, il faut consulter la page support de chaque modèle — et pour le DIR-823G, envisager que le correctif n'existe pas.

Audit à mener

1. Ce qui répond depuis l'extérieur

Le contrôle le plus rentable, valable pour tout ton parc réseau :

# Depuis une connexion EXTERNE
nmap -Pn -p 80,443,8080,8443,13136 <ip-publique>

Le port 13136 mérite une mention spéciale : c'est le démon WAVLINK. S'il répond, l'équipement est exploitable sans authentification.

2. Inventaire des modèles et firmwares

La question à laquelle il faut pouvoir répondre en quelques minutes : quels modèles sont déployés, en quelle version, et où ? Si la réponse demande une journée, c'est le vrai problème.

3. Signes de compromission

• Serveurs DNS modifiés — le signal le plus fréquent et le plus révélateur
• Redirections de ports non documentées
• Comptes administrateurs inconnus
• Scripts de démarrage modifiés — spécifiquement pour WAVLINK, c'est l'objectif décrit de l'attaque
• Trafic sortant initié par l'équipement vers des destinations sans rapport avec son fonctionnement

Mitigation

1. Couper l'administration distante

Immédiat, gratuit, et efficace contre la quasi-totalité de ces CVE :

Interface d'administration → Gestion → désactiver « Accès distant »

Exception importante : cela ne protège pas de CVE-2026-89009 (WAVLINK), puisque le service vulnérable n'est pas l'interface web. Pour celle-là, il faut filtrer le port 13136 au niveau réseau ou mettre à jour.

2. Changer les identifiants par défaut

Neuf des onze CVE ont un prérequis de privilèges (PR:L ou PR:H). Sur ces équipements, ce prérequis tombe dès lors que les identifiants d'usine sont en place — ce qui reste extrêmement fréquent.

3. Mettre à jour là où un correctif existe

WAVLINK vers M35M1_V250922. Pour les autres, consulter la page support du modèle.

4. Pour les équipements sans correctif

Le D-Link DIR-823G de 2018 et, plus généralement, tout modèle hors support : il n'y a pas de troisième option.

• Remplacer par un modèle dont le constructeur maintient le firmware
• Ou isoler strictement : aucune exposition Internet, administration accessible depuis une seule IP de management, et considérer le réseau derrière comme potentiellement exposé

5. Segmenter

Vérifie que ton réseau invité est réellement isolé de l'interface d'administration de l'équipement qui le sert. C'est une erreur de configuration extrêmement répandue, et elle transforme un visiteur en attaquant potentiel.

Pourquoi surveiller en continu votre parc réseau

Ce deuxième lot en trois semaines dit l'essentiel : les routeurs et points d'accès produisent un flux continu de CVE critiques à exploit public, portées par des composants abandonnés depuis vingt ans que personne ne recense. Ces équipements n'apparaissent dans aucun inventaire logiciel, ne remontent dans aucun scan d'OS, et continuent de fonctionner parfaitement une fois compromis — rien ne signale le problème.

Avec cveo.tech, inventorie tes routeurs, points d'accès et équipements réseau au même titre que tes serveurs, et reçois une alerte automatique dès qu'une CVE critique cible une de tes versions exactes. Pour que l'arrivée d'un exploit public sur un modèle de ton parc soit une notification, pas une découverte.