L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a inscrit la vulnérabilité CVE-2008-4128 dans son Known Exploited Vulnerabilities (KEV) Catalog, confirmant que cette ancienne faille affectant Cisco IOS fait désormais l’objet d’exploitations actives. Cette décision souligne que les vulnérabilités historiques peuvent rester une menace lorsqu’elles persistent sur des équipements encore en production.
La mise à jour du catalogue KEV a été publiée le 13 juillet 2026, avec une échéance fixée au 16 juillet 2026 pour que les agences fédérales américaines concernées appliquent les mesures correctives exigées par la directive Binding Operational Directive (BOD) 22-01. Le catalogue officiel des vulnérabilités exploitées est consultable sur le site de la CISA : https://www.cisa.gov/known-exploited-vulnerabilities-catalog.
Une vulnérabilité CSRF toujours dangereuse
La faille CVE-2008-4128 est une vulnérabilité de type Cross-Site Request Forgery (CSRF) qui affecte l’interface d’administration web de certains équipements exécutant Cisco IOS.
Selon le bulletin de sécurité publié par Cisco, un attaquant peut inciter un administrateur authentifié à visiter une page web spécialement conçue. Cette interaction suffit alors à envoyer des requêtes malveillantes vers l’équipement réseau à l’insu de l’utilisateur, pouvant conduire à l’exécution de commandes arbitraires ou à une modification de la configuration de l’appareil.
Les détails techniques de cette vulnérabilité sont disponibles dans l’avis officiel de Cisco Security Advisories : https://sec.cloudapps.cisco.com/security/center/.
Pourquoi la CISA agit-elle maintenant ?
Bien que cette vulnérabilité ait été publiée il y a plusieurs années, son ajout au catalogue KEV signifie que la CISA dispose d’informations crédibles attestant de son exploitation dans des attaques réelles.
Le catalogue KEV ne recense pas toutes les vulnérabilités existantes, mais uniquement celles pour lesquelles des preuves d’exploitation active ont été observées. Son objectif est d’aider les organisations à hiérarchiser les correctifs les plus urgents.
Cette décision rappelle que les cybercriminels exploitent régulièrement des vulnérabilités anciennes lorsque les équipements concernés n’ont jamais été mis à jour ou continuent d’utiliser des versions obsolètes de leurs logiciels.
Les équipements Cisco IOS concernés
La vulnérabilité affecte certaines versions de Cisco IOS lorsque l’interface d’administration web est activée.
Dans ce scénario, un administrateur connecté à son équipement pourrait, sans s’en rendre compte, exécuter des actions non autorisées simplement en consultant une page Internet contrôlée par un attaquant.
Les administrateurs sont invités à consulter la base officielle des vulnérabilités CVE afin d’identifier précisément les versions concernées : https://www.cve.org/CVERecord?id=CVE-2008-4128.
Les recommandations de sécurité
Face à cette menace, plusieurs mesures sont recommandées :
- appliquer les correctifs publiés par Cisco lorsque ceux-ci sont disponibles ;
- désactiver l’interface d’administration web si elle n’est pas nécessaire ;
- limiter l’accès aux interfaces de gestion aux seuls réseaux d’administration ;
- renforcer la segmentation du réseau afin de réduire l’exposition des équipements critiques ;
- surveiller les journaux d’administration pour détecter toute activité inhabituelle.
Ces bonnes pratiques permettent de réduire considérablement le risque d’exploitation de cette vulnérabilité.
Une preuve supplémentaire que les anciennes failles restent exploitées
L’ajout de CVE-2008-4128 au catalogue Known Exploited Vulnerabilities rappelle qu’une vulnérabilité ancienne n’est jamais totalement inoffensive. Les équipements réseau jouent un rôle stratégique dans les infrastructures informatiques et demeurent des cibles privilégiées pour les cybercriminels. Les organisations utilisant encore des versions vulnérables de Cisco IOS doivent donc vérifier rapidement leur exposition et appliquer les recommandations de sécurité afin de prévenir toute compromission de leur réseau.
