Vulnérabilité Cisco SD-WAN : une faille activement exploitée permet l’obtention des privilèges root

Cisco a publié une alerte de sécurité concernant une vulnérabilité Cisco SD-WAN. Elle affecte Catalyst SD-WAN Manager. Référencée CVE-2026-20245, cette faille présente un score CVSS de 7,8. Elle fait déjà l’objet d’exploitations dans des environnements réels. Le portail de sécurité de Cisco indique que le problème vient d’une validation insuffisante des données lors du traitement de fichiers téléchargés. Une fois exploitée, cette faiblesse permet l’exécution de commandes arbitraires avec les privilèges root. L’attaquant obtient ainsi un contrôle quasi total du système affecté.

Comment fonctionne la vulnérabilité Cisco SD-WAN ?

La vulnérabilité Cisco SD-WAN repose sur un mécanisme d’injection de commandes. Elle cible l’interface de gestion du système. Un attaquant avec des privilèges d’administrateur réseau peut téléverser un fichier spécialement conçu. Ce fichier contourne les mécanismes de validation du système. Le système exécute alors des commandes arbitraires avec les privilèges les plus élevés.

L’exploitation nécessite donc une authentification préalable. Toutefois, Cisco signale que d’autres vulnérabilités connues peuvent servir dans une chaîne d’attaque. C’est notamment le cas de CVE-2026-20182, une zero-day permettant un accès administrateur sur Cisco SD-WAN. C’est aussi le cas de CVE-2026-20127, une autre faille affectant les mêmes environnements, toutes deux analysées par CyberC4st. Cette capacité d’enchaînement augmente considérablement le niveau de risque. Le National Vulnerability Database du NIST publie les détails techniques de ces vulnérabilités liées.

Une exploitation déjà observée dans la nature

L’élément le plus préoccupant reste l’exploitation active de la vulnérabilité Cisco SD-WAN. L’équipe PSIRT de Cisco confirme que des attaquants ont déjà utilisé cette faille lors d’incidents réels. Dans plusieurs cas, les acteurs malveillants ont modifié des configurations sur les infrastructures SD-WAN sans autorisation.

Cette activité révèle plusieurs objectifs possibles. Les attaquants cherchent à maintenir un accès persistant. Ils manipulent aussi le trafic réseau. Ils se déplacent latéralement vers d’autres segments. Ils préparent des opérations de cyberespionnage. Ils compromettent également des équipements stratégiques. Les chercheurs de Mandiant ont notamment contribué à l’identification de cette menace.

Tous les environnements Cisco Catalyst SD-WAN sont concernés

La vulnérabilité Cisco SD-WAN touche l’ensemble des déploiements Catalyst SD-WAN Manager. Les versions concernées incluent les déploiements sur site, Cisco SD-WAN Cloud, Cloud-Pro et les environnements gouvernementaux FedRAMP. Les plateformes dont l’interface de gestion est accessible depuis Internet présentent un niveau d’exposition plus élevé.

Cette situation inquiète les grandes entreprises, les opérateurs télécoms, les administrations publiques et les infrastructures critiques. Ces organisations utilisent le SD-WAN pour interconnecter leurs sites et applications. La CISA encourage par ailleurs les organisations à prioriser les correctifs pour ce type de vulnérabilité activement exploitée.

Cisco recommande une surveillance renforcée

À ce stade, Cisco n’a pas publié de correctif spécifique pour CVE-2026-20245. L’éditeur recommande la mise à niveau vers les versions logicielles de son avis de sécurité de mai 2026. Les clients consultent les recommandations techniques depuis le portail du Cisco PSIRT.

En attendant un correctif définitif, les administrateurs doivent renforcer leur surveillance. Cisco recommande plusieurs actions concrètes. D’abord, analyser le fichier scripts.log dans /var/log/. Ensuite, rechercher des exécutions suspectes impliquant des fichiers CSV. De plus, vérifier les changements de configuration récents. Par ailleurs, collecter des données forensiques via la commande « request admin-tech ». Enfin, examiner les journaux avant toute opération de remédiation. Cisco précise aussi qu’une simple mise à jour peut ne pas suffire. Des mécanismes de persistance ont peut-être déjà été installés par un attaquant.

Pourquoi cette faille doit être traitée en priorité

Les solutions SD-WAN occupent une position stratégique dans les infrastructures modernes. Elles assurent la connectivité entre les sites distants, les centres de données et les services cloud. Une compromission du plan de gestion ouvre la voie à des modifications de politiques réseau. Un attaquant peut détourner du trafic ou déployer des configurations malveillantes à grande échelle. Le Centre for Internet Security rappelle d’ailleurs l’importance de protéger les interfaces d’administration exposées. Il recommande aussi de limiter les privilèges accordés aux comptes administrateurs.

Conclusion

La vulnérabilité Cisco SD-WAN CVE-2026-20245 constitue une menace importante pour les organisations utilisant Catalyst SD-WAN Manager. Son exploitation active, combinée à la possibilité d’obtenir des privilèges root, en fait une priorité pour les équipes de cybersécurité. En l’absence de correctif spécifique, les entreprises doivent renforcer immédiatement leurs contrôles d’accès. Elles doivent surveiller les journaux système et examiner toute modification suspecte des configurations réseau. Pour les environnements critiques, une surveillance continue des interfaces de gestion SD-WAN apparaît aujourd’hui indispensable.