Cisco Secure FMC : une faille notée 10 sur 10 exploitée depuis l'été
CVE-2026-20079, notée 10 sur 10, permet à un attaquant non authentifié de prendre un accès root sur la console qui pilote les pare-feux Cisco.
Photo : Taylor Vick / Unsplash
Cisco a confirmé que CVE-2026-20079, une faille de contournement d'authentification dans son logiciel de gestion de pare-feux Secure Firewall Management Center (FMC), est exploitée activement. Le 9 septembre, l'agence américaine de cybersécurité CISA l'a inscrite à son catalogue des vulnérabilités exploitées connues (KEV), avec un délai de correction de trois jours pour les administrations fédérales américaines — un délai anormalement court qui reflète la gravité perçue de la situation.
Le FMC est la console qui pilote la configuration des pare-feux Cisco Secure Firewall à l'échelle d'un parc entier. Un accès root à cette console équivaut, pour un attaquant, à un accès root à toute la politique de sécurité réseau qu'elle administre. Selon l'avis de sécurité de Cisco, la faille tient à un processus système mal initialisé au démarrage : une requête HTTP forgée vers l'interface web suffit à un attaquant non authentifié pour exécuter des commandes en tant que root. Le score CVSS atteint 10 sur 10, le maximum de l'échelle.
Une faille connue depuis mars, exploitée depuis l'été
La chronologie mérite d'être précisée, car elle n'est pas celle d'un zero-day classique. L'avis de sécurité de Cisco a été publié pour la première fois le 4 mars 2026, sans mention d'exploitation active à l'époque : la faille avait été repérée en interne, lors de tests de sécurité menés par un chercheur de Cisco, Brandon Sakai. Des correctifs (« hot fixes ») existaient donc déjà pour les versions concernées — 7.0, 7.2, 7.4, 7.6, 7.7 et 10.0 du FMC — bien avant que quiconque ne signale une attaque.
Ce n'est qu'en août 2026 que l'équipe de réponse aux incidents de Cisco (PSIRT) a établi que des attaquants exploitaient la vulnérabilité dans la nature. Selon les éléments rapportés par BleepingComputer, des traces d'intrusion remonteraient à des journaux datés du 23 juillet. Autrement dit, plusieurs mois ont pu s'écouler entre la disponibilité du correctif et son application effective sur une partie du parc installé — un délai courant pour des équipements de gestion réseau, dont la mise à jour impose souvent une fenêtre de maintenance.
Vérifier une compromission, pas seulement corriger
C'est le point le plus important de l'avis de Cisco, et celui qui distingue cette affaire d'une simple mise à jour de routine. L'entreprise le formule sans ambiguïté : « The hot fix files listed in this advisory are for preventing future exploitation only and may not address existing compromise »
Autrement dit, appliquer le hot fix empêche une future exploitation mais ne nettoie pas un appareil déjà infiltré. Cisco fournit une méthode de détection : en mode expert, la commande zgrep "package_info.*license" messages* recherche dans les journaux système une trace caractéristique de l'exploitation. Si le résultat mentionne le fichier /var/tmp/license.tmp, l'appareil a probablement été compromis à un moment donné. Dans ce cas, Cisco recommande de contacter directement son support technique (TAC) plutôt que de se contenter d'installer le correctif.
Ce que ça dit du risque sur les équipements de périphérie
Cette affaire s'ajoute à une série d'incidents récents touchant des équipements réseau exposés à internet — Klynlabs évoquait il y a quelques jours un rootkit Linux découvert sur des boîtiers F5 BIG-IP APM, où un implant persistant survivait dans la mémoire du serveur web. Le point commun : ce sont des équipements de confiance élevée (pare-feux, VPN, load-balancers), rarement redémarrés, souvent gérés par des équipes différentes de celles qui suivent les alertes de sécurité applicatives, et dont la compromission donne un accès quasi total au réseau qu'ils sont censés protéger.
Ce que l'on ne sait pas, en revanche : combien d'appareils ont été compromis dans le monde, ni qui se trouve derrière cette campagne. Ni Cisco ni CISA n'ont publié de décompte ou d'attribution à ce stade. Le délai de correction très court fixé par la CISA — trois jours, contre deux à trois semaines pour la plupart des entrées du catalogue KEV — est un signal indirect de gravité, mais ne constitue pas en soi une preuve d'une exploitation massive en cours.
Source
À lire ensuite
Le phishing « passkey » qui vide des comptes Microsoft 365 ne casse aucune clé d'accès
Une campagne de phishing active depuis mai 2026 pousse des employés vers de faux portails Microsoft sous prétexte de mettre à jour leur passkey. Le passkey n'est jamais réellement attaqué : c'est un prétexte pour rediriger la victime vers un flux d'authentification, lui, réellement piégeable.
Kelvyn2 min de lecture
Des failles JFrog Artifactory enchaînées pour créer des comptes administrateur en moins de cinq minutes
Deux vulnérabilités JFrog Artifactory, enchaînées, permettent d'obtenir un accès administrateur en quelques minutes sur des instances auto-hébergées non corrigées. Wiz confirme une exploitation active depuis la mi-août, avec le déploiement d'une porte dérobée sur mesure.
Kelvyn2 min de lecture
Une faille GitLab notée 10 sur 10 permet de lire des fichiers arbitraires en une seule requête
GitLab corrige une faille de sévérité maximale permettant à un attaquant non authentifié de lire des fichiers arbitraires sur un serveur vulnérable. La société watchTowr observe déjà des tentatives de sondage, sans preuve de compromission réussie à ce stade.
Kelvyn2 min de lecture