CISA signale une faille Cisco exploitée dans Catalyst SD-WAN Manager

Une faille de contrôleur devient un risque d’entreprise

CISA a signalé CVE-2026-76504, une vulnérabilité critique de Cisco Catalyst SD-WAN Manager, comme une faille connue et exploitée après des signalements d’attaques actives [2]. Ce changement de statut est important: il ne s’agit plus seulement d’une exposition théorique à corriger au prochain cycle de maintenance, mais d’un défaut que les défenseurs doivent considérer comme activement recherché, voire utilisé, par des attaquants [2].

Cisco a publié son avis de sécurité le 30 septembre 2026, avec une sévérité critique et un score CVSS 3.1 de 9,8 [1]. L’éditeur rattache la faille à CWE-177, c’est-à-dire une mauvaise gestion de l’encodage d’URL [1]. Selon Cisco, le problème se trouve dans la gestion de l’authentification par session de l’API de Catalyst SD-WAN Manager et peut permettre à un attaquant distant non authentifié d’accéder au système avec les privilèges de l’utilisateur administrateur [1].

Le contexte opérationnel rend cette vulnérabilité particulièrement sensible. Catalyst SD-WAN Manager, anciennement vManage, sert de console centralisée pour surveiller et administrer les équipements d’un fabric SD-WAN, parfois à très grande échelle [3]. Si cette console est compromise, l’enjeu dépasse la compromission d’un simple service web: l’attaquant peut potentiellement toucher à la visibilité, aux politiques et aux configurations qui structurent la connectivité WAN de l’organisation [3].

Ce que permet CVE-2026-76504

La vulnérabilité est décrite comme un contournement d’authentification lié à l’encodage hexadécimal ou URI dans Cisco Catalyst SD-WAN Manager [6]. Cisco explique qu’une requête HTTP spécialement construite, contenant un caractère encodé, peut contourner la règle d’authentification censée protéger un endpoint API précis [1]. Si l’exploitation réussit, la requête atteint l’API comme si elle avait franchi le contrôle d’accès, avec les privilèges de l’utilisateur administrateur [1].

Les indicateurs fournis par Cisco montrent l’exemple de %6a, c’est-à-dire la lettre “j” encodée dans le chemin j_security_check [1]. Mais Cisco précise que cet exemple ne doit pas être interprété comme une signature exhaustive: la vulnérabilité permettrait d’utiliser n’importe quel caractère encodé dans la requête pour déclencher le contournement [1]. Pour les équipes de détection, c’est un point crucial. Une règle qui ne chercherait qu’une chaîne exacte risquerait de manquer des variantes proches.

Cisco recommande d’examiner le fichier serviceproxy-access.log, situé dans /var/log/nms/containers/service-proxy/, afin d’identifier des entrées liées à j_security_check provenant d’adresses IP inconnues ou non autorisées [1]. L’éditeur recommande aussi de vérifier vmanage-server.log pour des appels à j_security_check, notamment lorsqu’ils concernent des utilisateurs dont le nom commence par viptela-reserved- [1]. Le NCSC néo-zélandais a repris cette logique de chasse en conseillant aux organisations de rechercher des requêtes inattendues contenant j_security_check dans ces journaux, tout en rappelant que l’exemple d’encodage n’est pas limitatif [5].

Versions concernées et correctifs disponibles

Cisco indique que la vulnérabilité affecte Cisco Catalyst SD-WAN Manager quelle que soit la configuration du système [1]. Les versions corrigées sont 20.9.10.1 pour la branche 20.9, 20.12.8.2 pour la branche 20.12, 20.15.6.1 pour la branche 20.15, 20.18.4.1 pour la branche 20.18, 26.1.2.1 pour la branche 26.1 et 26.2.1 pour la branche 26.2 [1]. Les versions antérieures à 20.9 doivent migrer vers une version corrigée [1].

Le Centre canadien pour la cybersécurité a publié le 1er octobre 2026 un avis reprenant ces seuils de version et encourageant les utilisateurs et administrateurs à consulter les liens fournis et à appliquer les mises à jour nécessaires [4]. Le NCSC néo-zélandais a également publié une alerte le 1er octobre, qualifiant la vulnérabilité de critique et rappelant qu’une exploitation réussie peut donner à un attaquant distant non authentifié un accès administrateur à Catalyst SD-WAN Manager [5].

Cisco précise aussi que Cisco SD-WAN Cloud, dans l’environnement Cisco Managed, a été corrigé avec la version cloud 20.15.605 et qu’aucune action utilisateur n’est requise pour cet environnement managé [1]. Pour les déploiements sur site, la situation est différente: Cisco indique qu’il n’existe pas de contournement qui corrige la vulnérabilité [1]. L’éditeur recommande toutefois de limiter l’accès depuis les réseaux non sécurisés, notamment Internet, et de n’autoriser que des hôtes connus et approuvés lorsque l’accès externe est nécessaire [1].

Pourquoi l’ajout au KEV change la priorité

Dans beaucoup d’entreprises, les équipes sécurité font déjà face à un volume élevé de CVE critiques. Le statut KEV ajoute une information déterminante: il signale une exploitation observée, pas seulement une possibilité technique. Selon les données de suivi liées au catalogue KEV, CVE-2026-76504 a été ajoutée le 30 septembre 2026, avec une date d’échéance fédérale fixée au 3 octobre 2026 et un usage dans des campagnes de rançongiciel indiqué comme inconnu [6].

Cette échéance courte concerne directement les agences civiles fédérales américaines, mais elle constitue aussi un signal fort pour les entreprises privées et les organisations publiques hors États-Unis. Quand une faille de contrôleur réseau entre dans le KEV avec exploitation active, les équipes ne devraient pas la classer derrière des mises à jour ordinaires. La bonne lecture est celle d’un déclencheur de réponse: inventaire, réduction d’exposition, correctif, chasse et conservation des preuves.

Cisco indique que son équipe PSIRT a pris connaissance d’une exploitation active en septembre 2026 [1]. Les détails publics restent limités: les informations disponibles ne donnent pas d’attribution claire, ne chiffrent pas le nombre de victimes et ne décrivent pas en détail la chaîne d’attaque [2]. Cette absence de récit complet ne réduit pas le risque; elle signifie plutôt que chaque organisation doit s’appuyer sur ses propres journaux et sa propre télémétrie pour savoir si son environnement a été ciblé.

La réponse recommandée

La première étape consiste à identifier tous les déploiements de Catalyst SD-WAN Manager, y compris les environnements de laboratoire, de secours ou de test connectés à des réseaux de production. Chaque instance doit être comparée à la matrice de versions corrigées publiée par Cisco [1]. Les systèmes exposés à Internet ou joignables depuis des segments peu fiables doivent être traités en priorité.

La deuxième étape est la réduction immédiate de l’exposition. Cisco recommande de bloquer l’accès depuis les réseaux non sécurisés et de placer les composants de contrôle SD-WAN derrière des dispositifs de filtrage n’autorisant que des hôtes connus [1]. Cette mesure n’est pas un correctif, mais elle peut réduire la surface d’attaque pendant la préparation de la mise à niveau.

La troisième étape est la chasse aux traces. Les équipes doivent rechercher des références inattendues à j_security_check, des caractères encodés dans les chemins associés et des connexions provenant d’adresses IP inconnues ou non autorisées [1][5]. Elles ne doivent pas se limiter à %6a, car Cisco souligne que d’autres caractères encodés peuvent être utilisés [1].

Enfin, lorsqu’une compromission est suspectée, les preuves doivent être préservées avant toute action qui pourrait effacer des journaux ou modifier l’état du système. Cisco conseille aux clients ayant besoin d’assistance d’ouvrir un dossier TAC avec CVE-2026-76504 dans le titre et de fournir un fichier admin-tech issu du déploiement SD-WAN Manager [1]. Autrement dit, corriger est indispensable, mais il faut aussi déterminer si l’attaquant est déjà entré, s’il a modifié des configurations ou s’il a laissé une persistance.

Le signal de fond

CVE-2026-76504 rappelle que les plans de gestion SD-WAN sont des cibles de grande valeur. Ils concentrent la configuration, la supervision et parfois la capacité d’agir sur un grand nombre de sites et de connexions cloud. Une faille pré-authentification donnant accès à l’API en administrateur doit donc être traitée comme un incident potentiel de plan de contrôle.

La conduite à tenir est claire: mettre à jour, restreindre l’accès de gestion et chercher les signes d’exploitation. Le WAN vient de passer en mode Dark Souls, mais les équipes qui agissent vite disposent encore d’un chemin défensif solide.

Sources des dernières 72 heures

1. [1]Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability30 sept. 2026, 15:00
2. [2]CISA Adds Exploited Cisco Catalyst SD-WAN Manager Auth Bypass to KEV1 oct. 2026, 02:00
3. [3]A Vulnerability in Cisco Catalyst SD-WAN Manager Could Allow for Authentication Bypass30 sept. 2026, 02:00
4. [4]Cisco security advisory (AV26-978)1 oct. 2026, 02:00
5. [5]CVE-2026-76504 affecting Cisco Catalyst SD-WAN Manager1 oct. 2026, 02:40
6. [6]KEV Entry: CVE-2026-7650430 sept. 2026, 20:00

Article généré par IA à partir d’une recherche web récente, puis conservé comme instantané éditorial daté.