Le 28 septembre 2026, NVD a publié quatre CVE critiques sur trois routeurs destinés aux particuliers et aux petites structures : Netcore NR289-GE, FAST FAC1200R et D-Link DI-8400. Point commun aux quatre : l'exploit est public. Point commun à trois d'entre elles : l'éditeur a été contacté et n'a jamais répondu.
Ce n'est pas un article sur « quel correctif installer ». À la date de rédaction, il n'y en a aucun de publié. C'est un article sur quoi faire d'un équipement qu'on ne peut pas corriger.
| CVE | Équipement | Firmware cité | Nature | CVSS 3.1 | Vecteur |
|---|---|---|---|---|---|
| CVE-2026-101072 | Netcore NR289-GE | 1.4.5102 | Injection de commandes OS | 10.0 | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| CVE-2026-101077 | Netcore NR289-GE | 1.4.5102 | Authentification manquante | 10.0 | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| CVE-2026-101038 | FAST FAC1200R | 5.0_20201119_1.0.2 | Débordement de pile | 9.9 | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
| CVE-2026-101081 | D-Link DI-8400 | 16.07 | Débordement de pile | 9.1 | AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
Toutes publiées par NVD le 2026-09-28. Aucune n'est au CISA KEV à la date de rédaction. NVD ne fournit aucune liste de versions affectées (pas de configuration CPE) : seule la version de firmware testée par le chercheur est citée. Les versions antérieures sont probablement concernées aussi, mais NVD ne le dit pas.
Netcore NR289-GE — CVE-2026-101072 et CVE-2026-101077
Deux failles notées 10.0 sur le même firmware :
- CVE-2026-101072 : une injection de commandes système dans un gestionnaire CGI de l'interface web. Un paramètre transmis par la requête finit dans une commande exécutée par le routeur.
- CVE-2026-101077 : une authentification manquante dans un autre composant de l'interface web.
The vendor was contacted early about this disclosure but did not respond in any way.
Les deux vecteurs sont PR:N : aucun compte requis. Sur un routeur, une injection de commandes s'exécute en général avec les privilèges maximaux, et le S:C traduit qu'au-delà du boîtier, c'est tout le réseau derrière lui qui est en jeu.
Correctif : aucun. L'éditeur n'a pas répondu.
FAST FAC1200R — CVE-2026-101038
Un débordement de pile dans un analyseur de l'interface. Le vecteur demande PR:L, un accès authentifié bas niveau — ce qui, sur un routeur grand public dont le mot de passe d'administration n'a souvent jamais été changé, protège peu. La chaîne de version du firmware cité renvoie à un build de novembre 2020.
The vendor was contacted early about this disclosure but did not respond in any way.
Correctif : aucun. L'éditeur n'a pas répondu.
D-Link DI-8400 — CVE-2026-101081
Un débordement de pile dans le service d'administration web, sur le firmware 16.07. C'est la moins grave des quatre au sens CVSS : PR:H, il faut un accès administrateur. Mais le service d'administration web est précisément ce qui est trop souvent exposé sur l'interface WAN.
La description NVD ne dit rien de la réponse de D-Link. Consulte le portail d'avis de sécurité D-Link pour savoir si un firmware corrigé existe ou si l'équipement est en fin de support.
Pourquoi l'absence de correctif change la réponse
Avec un exploit public et pas de correctif, la question n'est plus « quand patcher », mais « combien de temps garder cet équipement en l'état ». Les routeurs de cette catégorie finissent régulièrement dans des botnets : ils sont nombreux, rarement mis à jour, jamais surveillés, et allumés en permanence.
Un éditeur qui ne répond pas à un signalement de sécurité ne publiera vraisemblablement pas de correctif. Il faut planifier comme si aucun n'allait venir.
Détection
- Interface d'administration joignable depuis Internet : vérifie depuis l'extérieur si le port web du routeur répond sur son adresse publique
- Configuration modifiée : DNS, règles de redirection de ports, comptes, que personne n'a changés
- Trafic sortant anormal depuis le routeur lui-même : connexions vers des adresses inconnues, volume inhabituel
- Redémarrages inexpliqués, souvent la trace d'un débordement mémoire exploité ou tenté
Mitigation
- Couper l'administration à distance (côté WAN) sur chacun de ces équipements, immédiatement.
- Restreindre l'interface web au réseau local, idéalement à un seul poste d'administration.
- Changer le mot de passe administrateur s'il n'a jamais été changé : c'est ce qui fait tomber le
PR:Let lePR:Hdes deux débordements. - Netcore NR289-GE et FAST FAC1200R : planifier le remplacement. Sans réponse de l'éditeur, il n'y a pas de correctif à attendre.
- D-Link DI-8400 : vérifier sur le site D-Link l'existence d'un firmware corrigé ou le statut de fin de support, et remplacer si l'équipement n'est plus maintenu.
- En attendant le remplacement, placer l'équipement derrière un autre pare-feu si possible, et ne laisser aucun service de gestion joignable depuis l'extérieur.
Pourquoi surveiller en continu votre matériel réseau
Ces boîtiers vivent souvent hors de tout inventaire : installés par un prestataire, dans une agence, chez un télétravailleur. Ce sont pourtant eux qui tombent en premier quand un exploit public sort.
Avec cveo.tech, déclare aussi tes routeurs et box de petite taille, et reçois une alerte dès qu'une CVE critique les concerne — y compris quand il n'y a pas de correctif.