Le 25 septembre 2026, la CISA a ajouté CVE-2026-67279 à son catalogue KEV, avec une échéance au 28 septembre. Prise seule, elle se décrit en une phrase sèche. Prise avec son contexte, elle change la lecture d'une faille déjà connue : CVE-2026-86060, l'escalade de privilèges RouterOS entrée au KEV le 10 septembre.
| Champ | Valeur |
|---|---|
| Produit | MikroTik RouterOS |
| Nature (CISA) | Improper enforcement of behavioral workflow |
| Ajout KEV | 2026-09-25 |
| Échéance CISA | 2026-09-28 |
| CVSS / vecteur NVD | non publié |
| Versions NVD | non publiées |
NVD n'a pas encore publié de score, de vecteur ni de versions à la date de rédaction. Tout ce qui suit repose sur la fiche CISA ; pour la version à installer, ce sont les notes de version et les avis MikroTik qui font foi.
Ce que dit la CISA
Mikrotik RouterOS contains an improper enforcement of behavioral workflow vulnerability that could allow an unauthenticated client to open a session channel and send an exec request. This vulnerability can be chained to achieve unauthenticated exploitation of CVE-2026-86060.
« Improper enforcement of behavioral workflow » (CWE-841) désigne un protocole dont les étapes ne sont pas imposées dans l'ordre. Normalement, un client s'authentifie, puis seulement ensuite ouvre une session et demande à exécuter quelque chose. Ici, RouterOS accepte des étapes qui auraient dû être refusées tant que l'authentification n'était pas terminée.
C'est la même famille de défaut que celle décrite pour CVE-2026-67277 dans notre article du 10 septembre : un service qui accepte une action avant que la session correspondante ait été authentifiée.
Pourquoi la chaîne change tout
En septembre, CVE-2026-86060 était une escalade de privilèges : il fallait déjà un accès au routeur pour l'exploiter. C'est ce qui permettait, à tort ou à raison, de la classer derrière les failles exposées sans compte.
La CISA précise maintenant que CVE-2026-67279 fournit cet accès sans authentification. Combinées, les deux deviennent une compromission du routeur depuis le réseau, sans identifiant.
Si tu avais repoussé le correctif de 86060 parce qu'il « fallait un compte », cette hypothèse ne tient plus.
Sur MikroTik, l'enjeu dépasse l'équipement lui-même : ces routeurs sont historiquement parmi les plus enrôlés dans des botnets, et un routeur compromis voit passer tout le trafic du site qu'il dessert.
Versions
Aucune version affectée ni corrigée n'est publiée par NVD pour CVE-2026-67279. Je ne vais pas en inventer.
Pour CVE-2026-86060, les versions corrigées sont 6.49.21, 7.23.4 et 7.24.2 (voir notre article de septembre). Rien ne dit qu'elles corrigent aussi 67279 : vérifie les notes de version MikroTik publiées depuis, et installe la version la plus récente de ta branche (Long-term ou Stable).
Détection
- Sessions d'administration dans les journaux RouterOS sans connexion réussie correspondante, ou depuis des adresses inconnues
- Comptes utilisateurs ajoutés ou groupes modifiés (
/user) que personne n'a créés - Scripts et planificateurs (
/system script,/system scheduler) inattendus : c'est la persistance la plus courante sur RouterOS - Proxy, tunnels ou règles NAT ajoutés, et trafic sortant inhabituel depuis le routeur lui-même
- Fichiers inconnus dans la liste
/file
Mitigation
- Mettre à jour RouterOS vers la dernière version de ta branche publiée par MikroTik, en vérifiant dans les notes de version la mention de CVE-2026-67279. L'échéance CISA est passée.
- Fermer l'administration depuis l'extérieur : restreindre chaque service de gestion (SSH, Winbox, API, WebFig, Telnet) aux réseaux d'administration via les adresses autorisées des services et le pare-feu, et désactiver ceux qui ne servent pas.
- Ne jamais exposer l'administration d'un routeur sur l'interface WAN. Si l'accès distant est nécessaire, passer par un VPN.
- En cas de doute sur une compromission : une mise à jour ne supprime ni les comptes, ni les scripts ajoutés. Exporte la configuration, compare-la à une version de référence, et faute de référence fiable, réinitialise et reconfigure puis change tous les mots de passe.
Pourquoi surveiller en continu vos routeurs
Deux CVE entrées au KEV à deux semaines d'écart, dont la seconde change la gravité de la première : c'est le genre d'évolution qu'on manque quand on traite chaque avis isolément.
Avec cveo.tech, inventorie tes routeurs avec leur version RouterOS, et reçois une alerte dès qu'une CVE au CISA KEV les concerne.