Cisco publie des correctifs d'urgence pour une vulnérabilité zero-day exploitée dans Catalyst SD-WAN Manager

Cisco a publié des correctifs d'urgence le mercredi 1er octobre 2026 pour une vulnérabilité zero-day critique dans Catalyst SD-WAN Manager. La faille, identifiée sous le nom de CVE-2026-76504, a un score CVSS de 9,8 et permet à des attaquants distants et non authentifiés d'obtenir des privilèges administratifs sur les appareils vulnérables. Le Cisco Product Security Incident Response Team (PSIRT) a déclaré avoir pris connaissance de l'exploitation active en septembre 2026 et a exhorté les clients à passer à une version logicielle corrigée.

Nature de la faille

Le problème réside dans une gestion incorrecte de l'encodage URI dans les requêtes HTTP, permettant à des requêtes manipulées d'atteindre un point de terminaison API restreint. Selon les analyses de SecurityWeek et BleepingComputer, cette faille d bypass d'authentification affecte tous les déploiements, indépendamment de la configuration du système. Les attaquants peuvent envoyer une requête HTTP spécialement conçue à l'API du système cible, contournant ainsi la règle d'authentification censée limiter l'accès à l'administrateur.

Indicateurs d'exploitation et signes d'atteinte

Les chercheurs ont identifié un indicateur d'atteinte spécifique : les attaquants utilisent le caractère %6a (l'octet URI-encodé pour "j") dans les requêtes malveillantes. Cisco conseille aux administrateurs de surveiller deux fichiers journaux pour détecter les signes d'atteinte :

* **/var/log/nms/containers/service-proxy/serviceproxy-access.log**
* **/var/log/nms/vmanage-server.log**

Les entrées liées à "j_security_check" provenant d'adresses IP inconnues ou non autorisées doivent déclencher une enquête. Pour aider à déterminer si un système a été compromis, les clients peuvent ouvrir un dossier avec le Cisco Technical Assistance Center (TAC) après avoir collecté des fichiers admin-tech.

Réponse et atténuation

Les correctifs sont disponibles via le portail de téléchargement de Cisco. Les organisations sont fortement encouragées à appliquer les mises à jour immédiatement. La Cybersecurity and Infrastructure Security Agency (CISA) a ajouté CVE-2026-76504 à son catalogue Known Exploited Vulnerabilities (KEV) et a ordonné aux agences fédérales américaines de sécuriser leurs systèmes contre les attaques d'ici le samedi 3 octobre 2026.

Contexte plus large

Cette faille est la cinquième vulnérabilité zero-day SD-WAN exploitée dans la nature cette année. Cisco a corrigé plusieurs vulnérabilités similaires précédemment, notamment CVE-2026-20127 (information disclosure en février), CVE-2026-20182 (bypass d'authentification en mai) et CVE-2026-20245/CVE-2026-20262 (privilèges root en juin). La récurrence des exploits souligne la pression continue sur les fournisseurs de réseaux pour renforcer la sécurité des plateformes de gestion critiques.

La réponse rapide de Cisco et l'intervention de CISA illustrent l'effort coordonné entre l'industrie et le gouvernement pour atténuer les risques immédiats tout en soulignant la nécessité de pratiques de développement sécurisées pour réduire l'apparition de vulnérabilités similaires à l'avenir.