← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités MikroTik activement exploitées (KEV)

Les 5 vulnérabilités MikroTik dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2026-67279 — MikroTik RouterOS : application incorrecte du flux de travail comportemental

  • Produit : MikroTik RouterOS
  • Ajoutée au catalogue : 25 septembre 2026
  • Échéance CISA : 28 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-841
  • Gravité : CVSS 6,9 (moyenne)
  • Probabilité d’exploitation (EPSS) : 2 %

MikroTik RouterOS contient une vulnérabilité d'application incorrecte du flux de travail comportemental qui pourrait permettre à un client non authentifié d'ouvrir un canal de session et d'envoyer une requête exec. Cette vulnérabilité peut être enchaînée pour obtenir une exploitation non authentifiée de CVE-2026-86060.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · mikrotik.com

CVE-2026-86060 — MikroTik RouterOS : neutralisation incorrecte des délimiteurs d'arguments dans une commande Critique

  • Produit : MikroTik RouterOS
  • Ajoutée au catalogue : 10 septembre 2026
  • Échéance CISA : 13 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-88
  • Gravité : CVSS 9,2 (critique)
  • Probabilité d’exploitation (EPSS) : 6 %

MikroTik RouterOS contient une vulnérabilité de neutralisation incorrecte des délimiteurs d'arguments dans une commande qui permet à un attaquant de modifier le masque de politique RouterOS de confiance, entraînant une élévation de privilèges.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · mikrotik.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-67277 — MikroTik RouterOS : absence d'authentification pour une fonction critique

  • Produit : MikroTik RouterOS
  • Ajoutée au catalogue : 10 septembre 2026
  • Échéance CISA : 13 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-306
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 2 %

MikroTik RouterOS contient une vulnérabilité d'absence d'authentification pour une fonction critique qui permet la divulgation de mémoire du noyau et le déni de service dans le service btest.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · mikrotik.com

CVE-2018-7445 — MikroTik RouterOS : dépassement de tampon basé sur la pile

  • Produit : MikroTik RouterOS
  • Ajoutée au catalogue : 8 septembre 2022
  • Échéance CISA : 29 septembre 2022
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-119
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 66 %

Dans MikroTik RouterOS, un dépassement de tampon basé sur la pile se produit lors du traitement des messages de requête de session NetBIOS. Des attaquants distants ayant accès au service peuvent exploiter cette vulnérabilité et obtenir une exécution de code sur le système.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · coresecurity.com

CVE-2018-14847 — MikroTik RouterOS : vulnérabilité de traversée de répertoires

  • Produit : MikroTik RouterOS
  • Ajoutée au catalogue : 1 décembre 2021
  • Échéance CISA : 1 juin 2022
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-22
  • Gravité : CVSS 9,1 (critique)
  • Probabilité d’exploitation (EPSS) : 96 %

MikroTik RouterOS à partir de la version 6.42 permet à des attaquants distants non authentifiés de lire des fichiers arbitraires et à des attaquants distants authentifiés de créer des fichiers arbitraires en raison d'une vulnérabilité de traversée de répertoires dans l'interface WinBox.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

← Retour au suivi KEV · télécharger tout le catalogue (CSV)