if ( !emtpy($headline_subheadline ) ) : ?>
Le correctif corrige deux vulnérabilités critiques et cinq autres bogues de haute gravité impactant le système d’exploitation de routage de classe opérateur de Cisco, avec des chemins potentiels vers RCE et des accès non autorisés.
endif; ?>
Cisco cherche à devancer les attaquants avec un nouvel ensemble de plus d’une demi-douzaine de correctifs, dont certains critiques, pour son système d’exploitation réseau (OS) basé sur Linux IOS XR.
Dans le cadre de ses tests réguliers, l’équipe d’ingénierie logicielle de Cisco a signalé « plusieurs vulnérabilités découvertes en interne », a indiqué la société. Ces failles pourraient permettre aux attaquants d’exécuter du code à distance (RCE) et d’obtenir un accès root sur un routeur, leur permettant ainsi d’intercepter le trafic. D’autres risques potentiels pourraient inclure des échecs de contrôle d’accès, des débordements de mémoire tampon et des accès hors limites.
Cisco a déclaré que toutes les versions d’IOS XR, y compris IOS XR7, sont concernées, quelle que soit la configuration. Il n’existe aucune solution de contournement connue, mais la société a publié des mises à jour logicielles.
Cisco souligne que, pour l’instant, les vulnérabilités ne semblent pas être activement exploitées.
IOS XR fonctionne sur certaines des infrastructures de routage les plus critiques d’un réseau, a expliqué Erik Avakian, conseiller technique chez Info-Tech Research Group. « Les vulnérabilités les plus graves peuvent potentiellement être exploitées à distance avec une faible complexité d’attaque, sans privilèges ni aucune interaction de l’utilisateur », a-t-il déclaré. « C’est suffisant pour justifier une attention immédiate et une mise à jour rapide. »
Vulnérabilités critiques permettant des problèmes de contrôle de durée de vie « inappropriés »
Deux des sept vulnérabilités identifiées par Cisco ont une gravité de 9,8 (critique) sur la base du Common Vulnerability Scoring System (CVSS).
CVE-2026-20274 et CVE-2026-20279 résolvent tous deux des problèmes de contrôle des ressources à vie, tels qu’une validation de certificat inappropriée, une autorisation incorrecte ou manquante pour des fonctions critiques, le fonctionnement des ressources après la publication ou l’expiration, la lecture ou l’écriture hors limites, l’initialisation de ressources avec des détails non sécurisés et l’allocation de ressources sans limites de limitation.
Les cinq autres vulnérabilités sont notées entre 8,8 et 8,2 (gravité élevée). Ces correctifs corrigent des calculs d’utilisation du réseau incorrects (taille de la mémoire tampon, dépassement de capacité, dépassement insuffisant), des vérifications ou une gestion inappropriées de conditions exceptionnelles ou d’incohérences, une gestion insuffisante des flux de contrôle et des défaillances des mécanismes de protection.
Cependant, Cisco n’a pas explicitement déclaré que chacun de ces problèmes pouvait conduire à un RCE, a noté Avakian d’Info-Tech. Mais des problèmes de contrôle d’accès pourraient permettre à un attaquant d’atteindre des ressources qu’il ne devrait pas avoir accès, tandis que des failles liées à la mémoire pourraient provoquer des pannes du système, un déni de service ou créer un chemin vers l’exécution de code. Si un attaquant prenait le « contrôle significatif » d’un appareil, cela pourrait entraîner une interruption du réseau et de l’activité, des modifications de configuration non approuvées, une manipulation de routage ou ouvrir la voie à une attaque plus large, a-t-il déclaré.
Les deux 9.8 visent à « obtenir l’accès et la persistance », a déclaré David Shipley de Beauceron Security. L’accès au RCE et au routeur racine figure dans le manuel de jeu de Salt Typhoon, a-t-il souligné, ajoutant que « le pire des scénarios avec certains de ces bogues CVSS inférieurs est une perturbation et des pannes généralisées du réseau ».
Il s’agit de failles critiques dans les équipements de classe opérateur, et les entreprises de télécommunications du monde entier devraient y prêter attention, « car vous pouvez être sûr qu’il existe un certain nombre d’équipes de piratage informatiques au niveau des États-nations », a-t-il noté.
Ce que les clients Cisco devraient faire maintenant
Les clients peuvent identifier si un appareil exécute Cisco IOS XR en utilisant la commande « show version », a indiqué la société. Ils doivent effectuer une mise à niveau vers une version avec des mises à niveau de maintenance logicielle (SMU) disponibles ou des correctifs logiciels ciblés qui ne nécessitent pas une mise à niveau complète du système, puis appliquer les SMU appropriées.
Les SMU disponibles couvrent les trains de logiciels de différentes versions, à commencer par la version 7.3. Il peut y avoir jusqu’à 16 SMU pour chaque version, et les clients ayant besoin de correctifs pour d’autres versions non identifiées par Cisco doivent contacter leur organisation de support de sécurité ou ouvrir une demande de service Cisco, a indiqué la société. Les futures versions du logiciel Cisco IOS XR (26.2.2 et 26.3.1) seront les premières versions corrigées ne nécessitant pas de SMU.
Avakian a conseillé de donner la priorité aux correctifs en fonction de l’exposition et de la criticité. « Les systèmes de routage Internet et de base qui assurent le fonctionnement du réseau devraient passer en première ligne », a-t-il déclaré. Une autre étape importante consiste à examiner de près la manière dont ces appareils sont gérés et ce qui est réellement exposé.
Cela plaide en faveur des principes de confiance zéro : restreindre l’accès administratif, appliquer et valider des listes de segmentation et de contrôle d’accès (ACL) et utiliser la gestion hors bande « lorsque cela est possible », a déclaré Avakian. Pendant ce temps, les équipes d’intervention doivent rechercher les pannes inattendues des processus, les changements de configuration, les activités d’authentification inhabituelles ou les changements de routage inexpliqués.
Il y a une considération supplémentaire : il est tout à fait possible que même si une organisation n’exécute pas directement IOS XR, son fournisseur de télécommunications, MSP ou un autre partenaire critique le soit, a-t-il noté.
« Je demanderais donc à vos différents fournisseurs comment ils traitent ce problème de leur côté : s’ils sont concernés, s’ils ont appliqué des correctifs et quand la correction sera terminée », a déclaré Avakian. Même si la bonne nouvelle est que Cisco n’est pas actuellement au courant de l’exploitation publique, les vulnérabilités sont toujours publiques, il n’existe aucune solution de contournement et les problèmes les plus graves ont des caractéristiques que les attaquants peuvent tenter d’exploiter, a-t-il souligné, « il est donc essentiel d’appliquer des correctifs en temps opportun ».
L’IA annonce une toute nouvelle ère de sécurité
Il est intéressant de noter que le nombre total de bogues abordés dans l’avis est regroupé autour de faiblesses communes et utilise un CVE par faiblesse, plutôt que par bogue, a noté Shipley. Son nombre de bogues contraste tout à fait avec celui de Microsoft, qui a doublé la taille de sa mise à jour Patch Tuesday avec tous les bogues qu’il corrige.
« Deux entreprises mondiales, toutes deux utilisant l’IA, ont deux approches différentes pour communiquer le nombre de bugs détectés qui doivent être corrigés », a déclaré Shipley.
« Cela n’aide pas à la transparence », a-t-il déclaré. « Mais cela donne l’impression que les produits (de Cisco) contiennent moins de bugs, ce qui est plus une démarche marketing qu’une démarche de sécurité. »
Il convient également de noter que Cisco a déclaré que les bugs avaient été découverts lors de tests internes, en utilisant Frontier AI, a-t-il ajouté.
Avakian a également souligné la « nouvelle normalité », dans laquelle l’IA commence déjà à détecter les vulnérabilités beaucoup plus rapidement que les humains. Cela signifie que même si les fournisseurs peuvent détecter les vulnérabilités plus rapidement, les adversaires auront également de plus en plus accès aux mêmes types de capacités et de vitesse. « À bien des égards, cela devient une course IA contre IA », a-t-il déclaré.
Le défi pour les DSI et les responsables de la sécurité sera désormais de savoir avec quelle rapidité ils pourront comprendre leur exposition, tester les correctifs de manière appropriée et mettre les correctifs en production en toute sécurité, a déclaré Avakian. « Alors que l’IA accélère le développement des exploits alors que l’application de correctifs aux entreprises prend encore des semaines, voire des mois, l’écart devient de plus en plus insoutenable », a-t-il souligné.
