D-Link enquête sur une faille critique qui touche ses routeurs DIR-822A. Exploitable sans authentification, elle dispose déjà d’un code d’exploitation public et n’a pour l’heure aucun correctif.
L’affaire est plus que délicate pour les propriétaires de routeurs D-Link DIR-822A. Le constructeur a en effet confirmé l’existence de CVE-2026-86296, une vulnérabilité critique affublée d’un triste score de 10/10 sur l’échelle CVSS. Un attaquant peut l’exploiter sans disposer d’identifiants ni nécessiter la moindre interaction de la part de la victime. Plus embêtant, un PoC permettant de reproduire l’attaque circule déjà publiquement, alors que D-Link enquête toujours sur le problème et n’a publié aucun nouveau firmware pour parer au plus pressé.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Une vulnérabilité qui peut mener à la prise de contrôle du routeur
Dans le détail, CVE-2026-86296 touche un composant chargé du DHCP, le service qui permet au routeur d’attribuer automatiquement une adresse IP aux appareils connectés au réseau. Le problème résulte ici du traitement de certaines données reçues par l’équipement : la fonction chargée de les copier en mémoire ne contrôle pas correctement leur volume et peut en copier davantage que l’espace prévu ne peut en contenir.
Un attaquant présent sur le réseau local peut donc envoyer un paquet DHCP spécialement conçu pour faire déborder les données hors de la zone mémoire qui leur est réservée et corrompre la mémoire de l’appareil. Aucun mot de passe ni aucune intervention de la victime n’est nécessaire. Dans le meilleur des cas, le service DHCP plante ; dans le pire, le pirate peut exécuter du code arbitraire sur le routeur et en prendre le contrôle pour modifier sa configuration, y déployer du code malveillant, voire l’enrôler dans un botnet.
Pour l’heure, D-Link a confirmé le problème sur le DIR-822A équipé du firmware A_101. L’enquête se poursuit et aucune exploitation de la faille n’a été signalée dans des attaques réelles. Le chercheur crédité de sa découverte, identifié sous le nom de « tian », a toutefois publié un PoC permettant de reproduire l’attaque. Une démonstration désormais accessible à tous, alors que D-Link n’a toujours aucun correctif à proposer.
Une deuxième faille critique, sur un routeur en fin de parcours
En parallèle, D-Link alerte aussi sur CVE-2026-86510 (CVSS 9,9), seconde vulnérabilité du DIR-822A accompagnée, elle aussi, d’un PoC public. Elle touche cette fois le composant chargé de traiter les messages de contrôle L2TP, protocole utilisé pour établir des tunnels réseau. Une erreur dans la gestion des données peut conduire le routeur à écrire en dehors de la zone prévue et provoquer, là encore, une corruption de sa mémoire. Son exploitation nécessite de faibles privilèges et concerne les appareils utilisant une connexion WAN L2TP ou L2TPv6.
La situation est d’autant plus tendue que la gamme DIR-822 n’est plus toute jeune. D-Link a déjà mis fin au support de plusieurs révisions du routeur et vérifie encore le statut exact du DIR-822A concerné ici. S’il n’est plus pris en charge, il ne faudra probablement pas compter sur l’arrivée d’un nouveau firmware.
D’ici là, le constructeur recommande de ne pas exposer inutilement le routeur à Internet, de désactiver ou limiter l’administration distante et de réserver les accès d’administration aux appareils et personnes de confiance.
