Les plateformes SD-WAN Cisco Catalyst sont largement déployées dans les entreprises, les gouvernements et les fournisseurs de services, servant souvent d'infrastructure centrale pour relier les bureaux distants, les centres de données et les environnements en nuage. Comme ces contrôleurs sont souvent accessibles à partir de réseaux externes pour soutenir les opérations distribuées, ils représentent une cible très visible et attrayante pour les acteurs de la menace.
Cisco a révélé une vulnérabilité critique de contournement d'authentification, CVE-2026-20127, affectant à la fois le Cisco Catalyst SD-WAN Controller (anciennement vSmart) et le Cisco Catalyst SD-WAN Manager (anciennement vManage). La faille a un score CVSS de 10.0, permettant à un attaquant distant et non authentifié d'obtenir un accès de niveau administratif en envoyant des demandes élaborées à un système exposé.
La vulnérabilité provient d'une défaillance dans le processus d'authentification du peering SD-WAN, brisant de fait un mécanisme de confiance central dans le plan de contrôle. Une fois exploitée, un attaquant peut se connecter en tant qu'utilisateur interne à haut privilège (non root) et utiliser NETCONF pour manipuler la configuration de la structure SD-WAN.
Les agences de sécurité des États-Unis, du Royaume-Uni, de l'Australie, du Canada et de la Nouvelle-Zélande ont confirmé conjointement l'exploitation active, les preuves montrant que les acteurs de la menace abusent de cette faille depuis au moins 2023. Cisco a établi un lien entre cette activité et un groupe d'intrusion sophistiqué connu sous le nom de UAT-8616.
La CISA a également ajouté le CVE à sa liste de vulnérabilités exploitées connues (KEV), soulignant son impact opérationnel.
La vulnérabilité affecte tous les types de déploiement des composants SD-WAN de Cisco Catalyst, quelle que soit la configuration :
Applicable à :
Il n'y a pas de solution de contournement et des correctifs sont nécessaires.
Ce que l'attaquant peut faire
En exploitant le mécanisme d'authentification du peering défaillant, un attaquant peut :
Le SD-WAN étant au cœur du routage distribué de l'entreprise, un accès non autorisé à cette couche permet aux attaquants de bénéficier d'une visibilité et d'un contrôle approfondis sur les sites connectés.
Cisco a publié des mises à jour pour tous les principaux trains de logiciels SD-WAN. Les utilisateurs concernés doivent mettre à jour les versions corrigées telles que :
(en fonction de la branche logicielle actuelle)
Les appareils utilisant des versions antérieures à 20.9.1 doivent migrer vers une version corrigée.
1. Apporter un correctif immédiatement
Appliquez sans délai la mise à jour appropriée fournie par Cisco. Il n'y a pas de solution de contournement prise en charge.
2. Mener une chasse aux menaces ciblée
Les agences nationales recommandent de collecter des instantanés, de vérifier les journaux et d'examiner les indicateurs de compromission. Les éléments clés sont les suivants
3. Renforcer l'exposition à la gestion du SD-WAN
Suivre les conseils de durcissement du SD-WAN de Cisco :
Si vous êtes préoccupé par l'une des menaces décrites dans ce bulletin ou si vous avez besoin d'aide pour déterminer les mesures à prendre pour vous protéger contre les menaces les plus importantes auxquelles votre organisation est confrontée, veuillez contacter votre gestionnaire de compte ouprenez contact avec nouspoursavoir comment vous pouvez protéger votre organisation.