Que s'est-il passé ?
Cisco met en garde contre des failles de sécurité activement exploitées dans des produits centraux de sécurité réseau : le Secure Firewall Management Center (FMC) et l'Identity Services Engine (ISE). Au total, cinq vulnérabilités atteignent le score CVSS maximal de 10 sur 10 – la classification la plus élevée possible. Sont concernées les failles CVE-2026-20079 (FMC) ainsi que CVE-2026-20130, CVE-2026-20192, CVE-2026-76460 et CVE-2026-76423 (ISE). Selon le fabricant, des attaquants exploitent déjà activement ces failles. Les utilisateurs n'ayant pas encore installé les correctifs doivent agir immédiatement.
Les détails
La vulnérabilité FMC CVE-2026-20079 est connue depuis mars, mais les correctifs de sécurité disponibles n'ont manifestement pas été installés de manière généralisée. Particulièrement critique : les attaquants distants n'ont besoin d'aucune authentification. Il suffit d'envoyer une requête HTTP spécialement conçue à un appareil vulnérable pour obtenir des droits root. Avec ces droits, il est ensuite possible de modifier les politiques de sécurité ou de désactiver complètement les fonctions de sécurité – un scénario cauchemardesque pour toute infrastructure de pare-feu.
Selon Cisco, les versions FMC suivantes sont protégées contre cette faille : 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 et 10.1.0.
Concernant l'Identity Services Engine, responsable du contrôle d'accès réseau, les attaquants peuvent entre autres contourner l'authentification ou même exécuter du code malveillant. Pour les versions ISE jusqu'à 3.0 incluse, le support a déjà expiré – les administrateurs concernés doivent impérativement migrer vers une version encore prise en charge. Les correctifs concernés sont : 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 et 3.5 Patch 4.
Outre ces failles critiques, Cisco répertorie dans son espace sécurité d'autres vulnérabilités, notamment des recommandations de durcissement pour ISE et FMC, ainsi que des problèmes supplémentaires comme une exécution de code root via sftunnel, des vulnérabilités de désérialisation Java et des failles d'injection de commandes dans ISE.
Analyse
Le fait que cinq vulnérabilités soient évaluées au score CVSS maximal de 10 souligne la gravité de ces failles de sécurité. FMC et ISE sont des composants d'administration centraux dans les réseaux d'entreprise – quiconque obtient un accès root ou contourne l'authentification ici peut, dans le pire des cas, neutraliser toute l'architecture de sécurité d'un réseau. Particulièrement préoccupant : la faille FMC est connue depuis mars, mais les attaquants ne l'exploitent activement que maintenant. Cela illustre un schéma récurrent en matière de sécurité informatique : entre la publication d'un correctif et son installation généralisée, il s'écoule souvent un temps précieux que les attaquants exploitent délibérément.
Pour les exploitants d'infrastructures de sécurité – des pare-feu réseau aux systèmes de protection physique tels que les coffres-forts de dépôt ou les contrôles d'accès – le même principe s'applique : une mesure de protection n'est aussi efficace que sa maintenance actualisée. Un FMC non corrigé est, au sens figuré, comparable à un tronc de collecte dont la serrure est connue pour être manipulable depuis des mois, mais qui n'a pas été remplacée.
Conseils pratiques
- Vérifiez immédiatement quelles versions de FMC et ISE sont utilisées dans votre infrastructure.
- Installez sans délai les correctifs fournis par Cisco – en particulier pour CVE-2026-20079, car cette faille est connue depuis mars et est désormais activement exploitée.
- Migrez impérativement les installations ISE jusqu'à la version 3.0 vers une version encore prise en charge, car le support n'existe plus pour celles-ci.
- Consultez la liste complète des vulnérabilités corrigées dans l'espace sécurité du site web de Cisco, car d'autres correctifs peuvent être pertinents en plus des failles critiques.
- Après l'application des correctifs, vérifiez que les politiques et fonctions de sécurité restent inchangées et actives, au cas où une attaque aurait déjà eu lieu.
Perspectives
Étant donné que des produits Cisco comme FMC et ISE font office d'instances de sécurité centrales dans de nombreux réseaux d'entreprise, l'exploitation active de ces vulnérabilités devrait continuer à attirer l'attention des chercheurs en sécurité comme des attaquants. Les entreprises qui ne corrigent pas rapidement leurs systèmes risquent de devenir la cible de vagues d'attaques automatisées dès que le code d'exploitation sera plus largement disponible. Ces incidents soulignent une nouvelle fois l'importance d'une gestion rigoureuse des correctifs, en particulier pour les infrastructures critiques en matière de sécurité – qu'il s'agisse de pare-feu numériques ou de mécanismes de protection physique tels que les systèmes de contrôle d'accès.
