ASUS a corrigé trois failles de routeur vendredi sans dire lesquels sont concernés

ASUS a publié vendredi 23 octobre un bulletin intitulé Security Update for ASUS Router Firmware. Trois failles, toutes classées High, toutes dans la branche de firmware 3.0.0.6_102, celle qui équipe ses modèles Wi-Fi 7 et ZenWiFi récents.

Celle qui compte est CVE-2026-93489, notée 8,7. Un attaquant sur un réseau adjacent envoie une requête HTTP, forge un ticket d'accès et exécute à partir de là des opérations d'administration sur le routeur. Sans mot de passe, sans connexion. Réseau adjacent signifie quelqu'un déjà à portée de votre Wi-Fi plutôt que n'importe où sur internet, donc la version réaliste, c'est un voisin, un invité qui a eu un jour le mot de passe du réseau invité, ou une prise connectée bon marché déjà compromise. Les deux autres demandent un peu plus de chance : CVE-2026-75775, notée 7,7, exécute des commandes en root mais seulement tant que le routeur est encore dans son état d'usine, et CVE-2026-75779, notée 8,6, exige que vous soyez connecté à la page d'administration puis que vous visitiez un site malveillant dans un autre onglet. Aucune exploitation n'a été signalée pour l'instant.

Ce qu'ASUS n'a pas publié, c'est la liste des modèles concernés, ce qui rend l'affaire plus pénible qu'elle ne devrait l'être. La marche à suivre consiste à ouvrir la page d'administration de votre routeur, à relever la version du firmware et à la comparer avec celle proposée sur la page de support ASUS de votre modèle. Si elle est plus récente, installez-la. Si vous ne pouvez pas mettre à jour tout de suite, ASUS propose les replis de bon sens : un mot de passe d'administration et un mot de passe Wi-Fi d'au moins dix caractères, l'accès distant depuis internet désactivé, et un passage en revue de la liste des appareils liés et des sessions d'application pour y repérer ce que vous ne reconnaissez pas.

C'est le troisième bulletin routeur d'ASUS ce mois-ci, après ceux du 7 et du 20, ce qui en dit long sur la fréquence à laquelle il faut vérifier. Le scan réseau de Tendvane liste tout ce qui est connecté à votre Wi-Fi, et c'est en général ainsi qu'un appareil inconnu finit par se faire remarquer.