Des failles dans l’interface de gestion Web donnent aux attaquants non authentifiés un accès root à distance.
Cisco a confié aux équipes de sécurité l’une des charges de travail de correctifs les plus importantes jamais affectées à ses produits de pare-feu, y compris des correctifs pour deux vulnérabilités « 10 parfaites » dans le logiciel Secure Firewall Management Center (FMC) de l’entreprise.
Dans l’ensemble, la version du 4 mars, la première de ses mises à jour semestrielles du pare-feu pour 2026, répond à 25 avis de sécurité couvrant 48 CVE individuels.
Les plus grandes préoccupations concerneront les failles FMC, CVE-2026-20079 et CVE-2026-20131, dont la première est une faiblesse de contournement d’authentification, et la seconde implique une désérialisation non sécurisée. Les deux sont classés « critiques » avec des scores CVSS maximum de 10.
Les faiblesses concernent l’interface de gestion web de la plateforme et donnent un accès root non authentifié. Cela en fera des cibles importantes pour les attaquants utilisant des outils d’ingénierie inverse pour révéler le fonctionnement des failles sous-jacentes.
Cela ne s’est pas encore produit – ni l’un ni l’autre n’a été signalé comme étant en cours d’exploitation – mais il ne fait aucun doute que les attaquants se jetteront rapidement sur eux s’ils le peuvent.
Cisco a déclaré à propos de CVE-2026-20079 : « Un attaquant pourrait exploiter cette vulnérabilité en envoyant des requêtes HTTP contrefaites à un appareil affecté. Un exploit réussi pourrait permettre à l’attaquant d’exécuter une variété de scripts et de commandes permettant d’accéder à l’appareil. »
Et CVE-2026-20131 est décrit ainsi : « Un attaquant pourrait exploiter cette vulnérabilité en envoyant un objet Java sérialisé contrefait à l’interface de gestion Web d’un appareil affecté. Un exploit réussi pourrait permettre à l’attaquant d’exécuter du code arbitraire sur l’appareil et d’élever ses privilèges. «
Il n’existe aucune solution de contournement pour ces vulnérabilités, a déclaré Cisco. Cependant, pour CVE-2026-20131, il est noté : « Si l’interface de gestion FMC ne dispose pas d’un accès public à Internet, la surface d’attaque associée à cette vulnérabilité est réduite. »
En bref, s’ils ne peuvent pas appliquer de correctif pour le moment, les administrateurs doivent s’assurer que le FMC n’est pas exposé jusqu’à ce que cela se produise.
Autres vulnérabilités
Parmi les défauts restants, six autres sont classés « élevés », avec des scores CVSS compris entre 7,2 et 8,6. Il s’agit notamment des vulnérabilités d’injection SQL du Firewall Management Center CVE-2026-20001, CVE-2026-20002 et CVE-2026-20003, toutes exploitables à distance par un attaquant authentifié. Encore une fois, aucune solution de contournement n’est possible.
CVE-2026-20039, noté 8,6 (« critique »), est une faille affectant le serveur Web VPN dans le logiciel Cisco Secure Firewall Adaptive Security Appliance (ASA) et le logiciel Cisco Secure Firewall Threat Defense (FTD) qui pourrait permettre à un attaquant non authentifié d’induire un état de déni de service.
De plus, CVE-2026-20082, également classé 8,6, pourrait permettre à un attaquant non authentifié de provoquer la suppression incorrecte des paquets TCP SYN entrants dans le logiciel Cisco Secure Firewall Adaptive Security Appliance (ASA).
La procédure pour corriger les failles corrigées dans la mise à jour de mars varie en fonction de la version du logiciel installée. Cisco recommande d’utiliser son vérificateur de logiciel pour déterminer la mise à jour appropriée. Les administrateurs peuvent également consulter les tableaux du Guide de compatibilité de Cisco Secure Firewall Threat Defense.
Du déjà-vu
Les failles classées critiques et le jour zéro sont devenues monnaie courante dans les cycles de correctifs Cisco au cours des deux dernières années, et sont désormais presque considérées comme des « événements zéro jour » en soi.
Il sera rappelé aux équipes de sécurité les correctifs d’urgence de septembre dernier traitant de failles de services Web similaires affectant le VPN ASA (Secure Firewall Adaptive Security Appliance) de Cisco et le logiciel Cisco Secure Firewall Threat Defense (FTD).
Parmi celles-ci, CVE-2025-20333 et CVE-2025-20362 étaient exploitées en mode Zero Day, tandis que la troisième, CVE-2025-20363, était considérée comme étant sous une menace imminente. Les attaques étaient suffisamment graves pour que Cisco publie un bulletin de « réponse aux événements » fournissant plus de détails sur les exploits signalés et les indicateurs de compromission.
