Introduction
Le zero-day Cisco FMC exploité par le ransomware Interlock représente l’une des menaces les plus sérieuses du premier trimestre 2026. En effet, Interlock exploitait CVE-2026-20131 depuis le 26 janvier 2026 — soit 36 jours avant que Cisco ne divulgue publiquement la faille le 4 mars 2026. Cette vulnérabilité permet à un attaquant distant non authentifié d’exécuter du code Java arbitraire avec des privilèges root sur les équipements Cisco Secure Firewall Management Center. Par conséquent, des organisations du monde entier ont été compromises pendant plus d’un mois sans qu’aucune alerte officielle ne soit disponible. Ainsi, pour toutes les organisations africaines et mondiales qui utilisent Cisco FMC, l’application immédiate des correctifs disponibles est une urgence absolue.
Zero-day Cisco FMC Interlock : comment la menace a été découverte
La découverte de cette campagne résulte d’une erreur opérationnelle du groupe Interlock lui-même. En effet, un serveur d’infrastructure mal configuré a exposé l’ensemble des outils opérationnels du groupe aux chercheurs d’Amazon spécialisés dans le renseignement sur les menaces. Les premières activités malveillantes détectées consistaient en des requêtes HTTP vers un chemin logiciel vulnérable. Ces requêtes contenaient des tentatives d’exécution de code Java et des URL intégrées. Ces URL transmettaient des données de configuration et confirmaient chaque exploitation réussie via une requête HTTP PUT.
En simulant un système compromis, les chercheurs d’Amazon ont incité les attaquants à déployer un binaire ELF Linux malveillant. Par conséquent, ils ont pu analyser l’ensemble de la chaîne d’attaque d’Interlock en conditions réelles. En outre, le serveur exposé a révélé qu’Interlock organisait ses artefacts en chemins dédiés à chaque cible individuelle. De ce fait, Amazon a partagé ces informations avec Cisco pour faciliter l’enquête. L’infrastructure AWS n’a pas été impliquée dans cette campagne.
CVE-2026-20131 : une faille d’une gravité exceptionnelle
Le zero-day Cisco FMC CVE-2026-20131 touche le logiciel Cisco Secure Firewall Management Center. En effet, Cisco FMC est la plateforme centrale qui permet aux administrateurs de gérer et superviser l’ensemble de leurs équipements de sécurité Cisco depuis une interface unifiée. Par conséquent, compromettre FMC ne se limite pas à un seul équipement. Cela donne accès à l’ensemble des pare-feux, politiques de sécurité et configurations réseau gérés par la plateforme.
Cette faille permet à un attaquant distant non authentifié d’exécuter du code Java arbitraire avec les privilèges root. Cela signifie qu’aucun compte, aucun mot de passe et aucun accès préalable n’est nécessaire. L’attaquant envoie une requête réseau spécialement conçue et obtient immédiatement les droits les plus élevés sur le système. De ce fait, tous les équipements de sécurité gérés par ce FMC se retrouvent sous le contrôle de l’attaquant.
Interlock : un groupe organisé avec un arsenal technique sophistiqué
Le groupe Interlock est apparu en septembre 2024. Il cible prioritairement les secteurs où une interruption d’activité garantit un paiement rapide. En effet, ses cibles habituelles incluent l’éducation, l’ingénierie, la construction, l’industrie manufacturière, la santé et les organismes gouvernementaux. Par conséquent, ce profil de cibles concerne directement des organisations africaines dans ces secteurs.
Un arsenal technique multi-couches
Une fois l’accès initial obtenu via le zero-day Cisco FMC, Interlock déploie un ensemble d’outils sophistiqués.
Reconnaissance et collecte de données. Un script PowerShell effectue une analyse approfondie de l’environnement Windows. Il collecte des informations système, des artefacts de navigation et des connexions réseau. Le script organise les résultats par hôte et compresse tout dans des archives ZIP. Ainsi, Interlock prépare le chiffrement à l’échelle de toute l’organisation avant même de déclencher le ransomware.
Trojans d’accès à distance. Le groupe utilise deux portes dérobées complémentaires. Le premier est un implant JavaScript qui exploite Windows Management Instrumentation pour le profilage et établit des connexions WebSocket persistantes avec des messages chiffrés en RC4. Il offre un accès shell interactif, le transfert de fichiers et des fonctionnalités de proxy SOCKS5. Le second est une porte dérobée Java basée sur les bibliothèques GlassFish — fonctionnellement identique — qui assure un accès redondant si la première porte est détectée.
Effacement des traces. Pour brouiller les pistes, les attaquants déploient un script Bash qui configure des serveurs Linux en proxys HTTP inverses via HAProxy. Ce script efface les journaux de manière agressive toutes les cinq minutes. De ce fait, les investigations forensiques deviennent considérablement plus difficiles après une attaque d’Interlock.
Webshell furtif en mémoire. Un webshell Java sans fichier intercepte les requêtes HTTP contenant des commandes chiffrées AES-128 avec une graine codée en dur. En effet, ce type d’outil résidant uniquement en mémoire ne laisse aucune trace sur le disque. Par conséquent, les outils antivirus et EDR basés sur la détection de fichiers ne peuvent pas l’identifier.
Outils légitimes détournés. Interlock utilise aussi ConnectWise ScreenConnect pour l’accès à distance, Volatility pour l’analyse forensique de la mémoire et Certify pour l’exploitation d’Active Directory. En outre, l’utilisation d’outils légitimes rend leur détection encore plus difficile pour les équipes de sécurité.
Le modèle d’extorsion en deux temps d’Interlock
Le ransomware Interlock applique une stratégie d’extorsion bien documentée. En effet, le groupe ne se contente pas de chiffrer les données. Il les exfiltre au préalable. Par conséquent, même une organisation qui dispose de sauvegardes solides reste sous pression face à la menace de publication de ses données confidentielles.
Les notes de rançon d’Interlock font référence à des risques réglementaires pour maximiser la pression sur les victimes. En effet, menacer une organisation de publier des données soumises à des obligations légales — données médicales, données financières, données personnelles — crée une pression bien supérieure à la simple promesse de déchiffrement. Par conséquent, Interlock cible délibérément des secteurs fortement réglementés pour amplifier l’impact de ses demandes.
L’analyse temporelle des horodatages suggère qu’Interlock opère dans le fuseau horaire UTC+3. De ce fait, les chercheurs d’Amazon localisent le groupe probable dans une zone géographique couvrant notamment l’Europe de l’Est ou le Moyen-Orient.
Pourquoi ce zero-day est particulièrement critique pour l’Afrique
Cisco FMC est déployé dans les banques, les opérateurs télécoms, les universités, les hôpitaux et les administrations publiques africaines. En effet, ces organisations utilisent Cisco FMC pour centraliser la gestion de leur sécurité réseau depuis une interface unique. Par conséquent, compromettre un seul serveur FMC peut donner à Interlock le contrôle total de l’ensemble de l’infrastructure de sécurité de l’organisation.
Par ailleurs, les secteurs prioritairement ciblés par Interlock — éducation, santé, organismes gouvernementaux — correspondent précisément aux secteurs les plus actifs en Afrique dans leurs programmes de numérisation. En outre, ces secteurs sont souvent moins bien protégés que les banques ou les grandes entreprises. De ce fait, ils constituent des cibles particulièrement accessibles pour un groupe comme Interlock qui maximise l’impact de chaque intrusion.
En outre, le fait qu’Interlock ait exploité cette faille 36 jours avant la divulgation publique illustre un défi structurel pour les équipes de sécurité africaines. En effet, sans accès à des flux de renseignements sur les menaces en temps réel — comme ceux produits par Amazon ou les CERTs internationaux — ces organisations ne peuvent pas détecter une exploitation de zero-day inconnu. Par conséquent, renforcer les partenariats avec les CERTs régionaux et les fournisseurs de renseignements sur les menaces devient une priorité opérationnelle urgente.
Les actions correctives à mettre en œuvre immédiatement
Face à ce zero-day Cisco FMC exploité par Interlock, les équipes IT et sécurité doivent agir selon un plan d’action précis.
Appliquer immédiatement les correctifs Cisco pour CVE-2026-20131. Cisco a publié les mises à jour de sécurité pour Cisco Secure Firewall Management Center. En effet, c’est la seule protection définitive contre cette faille. Par conséquent, aucune organisation utilisant Cisco FMC ne doit reporter cette mise à jour.
Abandonner la détection par hash de fichiers. En outre, Interlock personnalise fortement les fichiers déployés pour chaque réseau cible. De ce fait, les signatures basées sur les hash de fichiers sont largement inefficaces contre ce groupe. Les équipes de défense doivent se concentrer sur les schémas comportementaux et les anomalies en mémoire.
Surveiller les connexions WebSocket inhabituelles. En effet, l’implant JavaScript d’Interlock établit des connexions WebSocket persistantes vers des serveurs externes. Par conséquent, tout trafic WebSocket sortant depuis des serveurs internes vers des adresses IP inconnues doit déclencher une alerte immédiate.
Auditer les processus PowerShell suspects. En outre, le script de reconnaissance d’Interlock génère une activité PowerShell caractéristique — collecte d’informations système, création d’archives ZIP, connexions réseau inhabituelles. De ce fait, une surveillance des processus PowerShell inhabituels permet de détecter l’intrusion en phase de reconnaissance.
Vérifier les journaux FMC pour des accès antérieurs suspects. Les organisations doivent analyser leurs journaux d’accès Cisco FMC depuis le 26 janvier 2026. En effet, toute activité suspecte sur cette période peut indiquer une compromission déjà survenue. Par conséquent, une investigation forensique approfondie s’impose sur tous les systèmes FMC exposés à Internet.
Conclusion
Le zero-day Cisco FMC exploité par Interlock illustre l’une des asymétries les plus dangereuses de la cybersécurité moderne. En effet, les cybercriminels exploitent les failles inconnues pendant des semaines avant que les correctifs ne soient disponibles. Par conséquent, les organisations qui ne disposent pas de capacités de détection comportementale avancée restent aveugles face à ce type d’attaque. Ainsi, mettre à jour Cisco FMC, activer la détection comportementale, surveiller les connexions WebSocket et auditer les journaux depuis janvier 2026 constituent les quatre actions prioritaires pour toute organisation qui utilise Cisco FMC. Dans un contexte où Interlock cible activement des secteurs essentiels comme la santé, l’éducation et les gouvernements africains, chaque heure de retard représente un risque réel et documenté.
