Le zero-day de Cisco SD-WAN Manager laisse les attaquants entrer en administrateur

Cisco a divulgué et corrigé une faille d'authentification critique dans son Catalyst SD-WAN Manager le 30 septembre 2026, et a averti que des attaquants l'utilisaient déjà. La faille, suivie sous le nom de CVE-2026-76504, porte un score CVSS de 9,8 et permet à un attaquant distant non authentifié d'atteindre un point de terminaison d'API avec les privilèges de l'utilisateur administrateur intégré, selon le bulletin de sécurité de Cisco. Le Product Security Incident Response Team de Cisco a eu connaissance d'une exploitation active en septembre 2026, et l'entreprise ne liste aucun contournement qui élimine la faille.

À lire aussi: La faille zero-day de Fortinet sur FortiMail permet aux attaquants d'écrire des fichiers sans se connecter · Deux zero-days Citrix NetScaler, trois semaines sans détection, et désormais une exploitation de masse.

Catalyst SD-WAN Manager, anciennement SD-WAN vManage, est la console que les administrateurs utilisent pour configurer et surveiller un réseau étendu défini par logiciel. Cisco affirme qu'un seul déploiement peut gérer jusqu'à 6 000 équipements SD-WAN, a rapporté BleepingComputer. Une vulnérabilité qui débouche sur une session d'administrateur sur cette console est une vulnérabilité contre chaque équipement que la console supervise.

Ce que fait réellement la faille

Le bulletin classe la faille sous la gestion de l'authentification par session d'API et la catégorise CWE-177, mauvaise gestion de l'encodage d'URL. La description de Cisco est étroite. Une mauvaise gestion de l'encodage URI dans une requête HTTP permet à cette requête de contourner une règle d'authentification censée restreindre un point de terminaison d'API unique, et une exploitation réussie aboutit sur ce point de terminaison en tant qu'utilisateur administrateur. L'attaquant ne fournit jamais d'identifiant.

Le vecteur CVSS explique pourquoi le score atteint 9,8. Il indique réseau comme vecteur d'attaque, faible comme complexité, aucune privilège requis et aucune interaction utilisateur, avec un impact élevé sur la confidentialité, l'intégrité et la disponibilité. En clair, un attaquant qui peut joindre l'interface de gestion n'a besoin d'aucun compte et n'a pas à convaincre un administrateur de cliquer sur quoi que ce soit. La notation est celle de l'éditeur, et elle correspond au résumé du bulletin lui-même : la faille est exploitable par un attaquant distant non authentifié.

La plupart des contournements d'authentification échouent parce qu'une vérification est entièrement ignorée. Celui-ci semble échouer parce qu'une comparaison de chaînes est trompée par l'encodage. La requête porte un caractère sous sa forme encodée en pourcentage, et la règle qui protège le point de terminaison le compare à la forme littérale. Les indications de compromission publiées par Cisco montrent la forme. Leur exemple utilise %6a, la lettre « j » encodée en URI, dans une requête vers j_security_check, le point de terminaison que les applications web Java utilisent pour la connexion par formulaire. Le bulletin souligne que %6a n'est qu'un exemple et que l'encodage de n'importe quel caractère unique peut servir à exploiter la faille. Bloquer %6a attrape l'échantillon du journal ; l'acteur suivant encode un autre caractère.

« Cette vulnérabilité est due à une mauvaise gestion de l'encodage URI dans une requête HTTP, qui permet à la requête de contourner une règle d'authentification destinée à restreindre l'accès à un point de terminaison d'API précis. » — bulletin de sécurité Cisco, cisco-sa-sdwan-webauth-xr8beuuU, 30 septembre 2026

Cisco liste le produit concerné, Catalyst SD-WAN Manager, quelle que soit la configuration du système. Aucun réglage à désactiver, aucun rôle qui évite le chemin, aucune configuration qui modifie l'exposition. Le seul remède est un logiciel corrigé.

Le plan de gestion est le butin

Le SD-WAN sépare le plan de contrôle du plan de données, et le Manager se situe au-dessus des deux comme système de référence pour la configuration et la surveillance. Un attaquant qui l'atteint en administrateur peut lire la topologie, pousser des politiques, modifier le routage et ajuster les comptes qui administrent la toile. Le rayon d'impact s'étend au-delà de la console jusqu'aux appareils qui lui font confiance.

Catalyst SD-WAN Manager n'est pas un tableau de bord passif. Il stocke les modèles de configuration et les politiques poussés vers les routeurs et les équipements de périphérie, et il détient les identifiants et certificats que la toile utilise pour se faire confiance. Le bulletin situe la faille dans la gestion de l'authentification par session d'API, la couche qui décide si une requête peut agir en tant qu'utilisateur connecté. La franchir signifie que la requête de l'attaquant est traitée comme celle d'un administrateur, et que la session qui suit se comporte comme telle.

C'est aussi pourquoi cette faille s'inscrit dans un schéma. BleepingComputer a recensé CVE-2026-76504 comme le cinquième zero-day SD-WAN activement exploité en 2026. Cisco a corrigé CVE-2026-20127 en février, une faille exploitée depuis au moins 2023. En mai, il a averti que CVE-2026-20182, un contournement d'authentification de gravité maximale dans le Catalyst SD-WAN Controller, faisait l'objet d'une attaque zero-day pour obtenir des privilèges d'administrateur. Début juin, il a traité CVE-2026-20245 et CVE-2026-20262, deux autres zero-days SD-WAN utilisés pour obtenir un accès root sur des systèmes vulnérables. Cinq en dix mois, tous dans la même famille de produits.

Le décompte global est plus large. Depuis novembre 2021, la CISA a marqué 90 vulnérabilités Cisco comme exploitées dans la nature, dont quatre dans Catalyst SD-WAN Manager et sept abusées par des opérations de rançongiciel, selon le même rapport. Les produits Cisco se trouvent à la périphérie des réseaux d'entreprise, où une faille est joignable avant même que quiconque se connecte.

Le compte à rebours de trois jours

La CISA a ajouté CVE-2026-76504 à son catalogue des vulnérabilités exploitées connues le 30 septembre et, dans la même alerte, a ordonné aux agences civiles fédérales américaines de sécuriser leurs systèmes avant le samedi 3 octobre 2026. Trois jours calendaires, dont deux jours ouvrés.

L'échéance du catalogue KEV n'est pas un calendrier de correctifs distribué à tous ; elle lie les agences fédérales et signale la gravité au secteur privé. La fenêtre de trois jours est courte, et elle reflète un calcul simple : la faille est joignable à distance, ne demande aucune authentification et est déjà utilisée.

Comment vérifier si vous avez été touché

Cisco a publié des indicateurs de compromission et des journaux précis à auditer. Le bulletin dirige les administrateurs vers le fichier serviceproxy-access.log dans /var/log/nms/containers/service-proxy/ et le fichier vmanage-server.log dans /var/log/nms/, à la recherche d'entrées liées à j_security_check provenant d'adresses IP inconnues ou non autorisées. Dans vmanage-server.log, Cisco pointe les appels effectués pour des utilisateurs dont le nom commence par viptela-reserved-, les comptes de service internes. Cisco a aussi publié la règle Snort 67179 pour la détection.

Deux remarques pratiques figurent dans le bulletin. La première est que ces indicateurs peuvent apparaître pendant des opérations normales, il faut donc les comparer au trafic habituel d'un déploiement plutôt que les lire comme une preuve. La seconde est procédurale. Avant d'ouvrir un dossier TAC, Cisco demande aux clients d'exécuter la commande request admin-tech pour que le fichier collecté puisse être examiné, et suggère d'ouvrir le dossier en sévérité 3 avec CVE-2026-76504 dans le titre.

Pour les organisations qui ne peuvent pas corriger immédiatement, Cisco recommande de limiter l'exposition depuis des réseaux non fiables. Les déploiements sur site doivent se trouver derrière un pare-feu qui n'autorise que des hôtes connus et de confiance à joindre les composants de contrôle. Cisco indique que les déploiements hébergés dans le cloud disposent déjà de cette atténuation.

Les versions corrigées

Le tableau des versions corrigées de Cisco associe chaque branche à sa première build corrigée :

• Antérieure à 20.9 : migrer vers une version corrigée.
• 20.9 : 20.9.10.1
• 20.12 : 20.12.8.2
• 20.15 : 20.15.6.1
• 20.18 : 20.18.4.1
• 26.1 : 26.1.2.1
• 26.2 : 26.2.1

Cisco a également traité la faille dans Cisco SD-WAN Cloud (Cisco Managed) version 20.15.605, qui est hébergée dans le cloud et ne demande aucune action de l'utilisateur. Les opérateurs sur site doivent mettre à niveau. L'entrée NVD de Cisco et la couverture de SecurityWeek du 1er octobre portent la même évaluation de gravité et la même liste de versions.

Réserves

Trois choses que le bulletin ne dit pas, et qu'il ne faut pas combler.

Cisco n'a pas attribué l'exploitation à un groupe nommé. Le bulletin décrit une exploitation active et fournit des indicateurs, sans nommer d'acteur. Aucune liste de victimes ni décompte des organisations touchées n'a non plus été publié, donc tout chiffre qui circule en ligne ne vient pas de Cisco. The Hacker News et Infosecurity Magazine ont couvert le même bulletin les 30 septembre et 2 octobre respectivement, et ni l'un ni l'autre n'a ajouté d'attribution.

Les indications de détection sont un point de départ, pas un fil-piège. Cisco indique que les motifs d'IOC peuvent apparaître pendant des opérations standard, ce qui signifie qu'une correspondance est une raison d'enquêter, pas une conclusion en soi. Le caractère encodé observé dans la nature est un exemple plutôt qu'une liste exhaustive de ce qu'un attaquant pourrait envoyer.

La troisième est la portée. Cisco affirme que la faille a été découverte lors de la résolution d'un dossier de support TAC, ce qui explique comment elle a été repérée, pas combien de temps elle a été abusée. Le relevé d'exploitation du bulletin commence lorsque le PSIRT en a eu connaissance, en septembre 2026, et c'est la limite publique de ce qui est connu. Cisco a révisé le bulletin en version 1.1 le 2 octobre 2026, en y ajoutant les détails du bouclier Live Protect ; l'évaluation de gravité et les versions corrigées n'ont pas changé.

À suivre

• L'achèvement des correctifs. L'échéance fédérale était le 3 octobre. Savoir si la base installée plus large a bougé aussi vite est le chiffre qui compte, et Cisco ne l'a pas publié.
• Des indicateurs mis à jour. L'IOC publié est un seul caractère encodé. Si Cisco ajoute des variantes, les défenseurs qui ont écrit une signature unique devront l'élargir.
• La prochaine faille. Cinq zero-days SD-WAN en dix mois, c'est un rythme, pas un incident. Les zero-days NetScaler de Citrix ont été massivement exploités la même semaine, et les deux gammes se trouvent à la périphérie des réseaux d'entreprise.
• L'exposition sur Internet. Le correctif le plus durable est architectural : les composants de contrôle qui ne sont pas joignables depuis Internet ne sont pas joignables par un attaquant distant non authentifié.

Cisco n'a pas nommé les attaquants, publié de liste de victimes ni indiqué combien de systèmes ont été atteints. Les versions corrigées sont publiées, et la première échéance fédérale est passée.

Photo de couverture : le siège de Cisco Systems à San Jose, en Californie. Photo de Travis Wise via Wikimedia Commons, CC BY 2.0.