CVE-2026-20316

🔍 Contexte Publié le 15 septembre 2026 sur SecurityWeek par Eduard Kovacs, cet article rapporte l’alerte émise par Cisco concernant l’exploitation active d’une vulnérabilité zero-day critique affectant ses appliances Cisco Secure Email Gateway (versions physiques et virtuelles, toutes configurations). 🚨 Vulnérabilité CVE-2026-76461 — Score CVSS : 9.8 (critique) Type : problème de parsing d’e-mail dans le logiciel AsyncOS Exploitable à distance et sans authentification Permet l’exécution de commandes arbitraires avec privilèges root sur le système d’exploitation sous-jacent Vecteur d’exploitation : envoi d’un e-mail spécialement conçu contenant des instructions SQL malveillantes à l’utilisateur ciblé 🎯 Périmètre d’impact Affecté : Cisco Secure Email Gateway (physique et virtuel, toute configuration) Non affecté : Secure Email and Web Manager, Secure Web Appliance 📅 Chronologie Cisco PSIRT a pris connaissance de l’exploitation en septembre 2026 CISA a ajouté CVE-2026-76461 au catalogue KEV (Known Exploited Vulnerabilities) le même jour Délai imposé aux organisations fédérales américaines pour remédiation : 17 septembre 2026 ⚠️ Éléments notables Cisco a publié des indicateurs de compromission (IoC), mais avertit que les attaquants disposant de privilèges root peuvent supprimer ou masquer ces IoC Aucun détail sur les attaquants ni sur les victimes n’a été communiqué Il s’agit seulement de la deuxième vulnérabilité Cisco Secure Email Gateway inscrite au catalogue KEV, après CVE-2025-20393 exploitée par des acteurs liés à la Chine fin 2025 Cette alerte survient peu après des avertissements concernant CVE-2026-20079 et CVE-2026-20316 (Cisco Secure Firewall Management Center), exploitées par des hackers russes étatiques et des cybercriminels à but lucratif 📰 Nature de l’article Article de presse spécialisée à visée informationnelle, destiné à alerter les équipes de sécurité et les administrateurs sur une menace active nécessitant une action corrective urgente. ...

🔍 Contexte Cisco Talos publie le 9 septembre 2026 une analyse de menace active portant sur l’exploitation de deux vulnérabilités dans Cisco Secure Firewall Management Center (FMC) Software. L’article documente trois clusters d’activité post-compromission distincts associés à des acteurs étatiques et cybercriminels. 🚨 Vulnérabilités exploitées CVE-2026-20079 (CVSS 10.0) : Bypass d’authentification critique permettant à un attaquant non authentifié d’exécuter des scripts et d’obtenir un accès root sur le système sous-jacent. CVE-2026-20316 (CVSS 5.3) : Permet à un attaquant distant de se connecter avec un compte à faibles privilèges ; utilisable en chaîne avec d’autres vulnérabilités pour élever les privilèges. 👥 Cluster #1 : UAT-12197 Exploitation de CVE-2026-20079 suivie du dépôt d’un web shell JSP (home.jsp) dans le répertoire webroot Tomcat de CSM. Un fichier JAR malveillant (cmd.jar) est ensuite déposé pour interroger les bases de données internes et exfiltrer les credentials utilisateurs via OmniQuery.pl. ...

🔍 Contexte Source : BleepingComputer, publié le 9 septembre 2026. Cisco a officiellement confirmé l’exploitation active de CVE-2026-20079, une vulnérabilité d’authentification bypass de sévérité maximale (CVSS 10.0) affectant son logiciel Cisco Secure Firewall Management Center (FMC). 🚨 Nature de la vulnérabilité Type : Contournement d’authentification (Authentication Bypass) Cause : Processus système impropre créé au démarrage (boot time) Vecteur d’exploitation : Envoi de requêtes HTTP craftées vers l’interface web du dispositif Impact : Exécution de scripts et commandes avec privilèges root par un attaquant non authentifié à distance Produits affectés : Cisco Secure FMC Software et Cisco Security Cloud Control Firewall Management 📅 Chronologie Mars 2026 : Divulgation initiale de CVE-2026-20079 par Cisco, sans preuve d’exploitation 23 juillet 2026 : Entrée de log suspecte identifiée comme IOC potentiel d’exploitation 29 juillet 2026 : Cisco divulgue CVE-2026-20316 (credentials statiques, compte faible privilège), confirme son exploitation active, et met à jour l’advisory CVE-2026-20079 avec les mêmes IOCs Août 2026 : Le Cisco PSIRT prend connaissance de l’exploitation active de CVE-2026-20079 9 septembre 2026 : Cisco confirme officiellement l’exploitation ; la CISA ajoute CVE-2026-20079 au catalogue KEV avec deadline au 12 septembre 2026 pour les agences FCEB 🔗 Lien entre CVE-2026-20079 et CVE-2026-20316 Les deux vulnérabilités partagent : ...

🗓️ Contexte Le 30 juillet 2026, le site Security Affairs (Pierluigi Paganini) rapporte que la CISA (Cybersecurity and Infrastructure Security Agency) a ajouté la vulnérabilité CVE-2026-20316 au catalogue Known Exploited Vulnerabilities (KEV). Cisco a confirmé une exploitation active de cette faille en juillet 2026. 🔍 Détails de la vulnérabilité Produit affecté : Cisco Secure Firewall Management Center (FMC) Software CVE : CVE-2026-20316 Score CVSS : 5.3 Type : Vulnérabilité de credentials statiques (hardcodés) dans l’interface web Impact : Permet à un attaquant distant non authentifié de se connecter via un compte intégré à faibles privilèges et d’accéder à des informations sensibles Condition aggravante : La faille peut être combinée avec d’autres vulnérabilités Cisco FMC pour réaliser une élévation de privilèges Réduction de la surface d’attaque : Si l’interface de gestion FMC n’est pas exposée sur Internet public 🛠️ Détection de compromission Les administrateurs peuvent vérifier une exploitation en exécutant en mode expert : ...

📰 Source : BleepingComputer, publié le 29 juillet 2026. Cisco émet une alerte concernant deux vulnérabilités affectant son produit Cisco Secure Firewall Management Center (FMC). 🔴 CVE-2026-20316 — Credentials statiques (CVSS 5.3, sévérité High) Une vulnérabilité causée par des credentials statiques intégrés dans un compte de faible privilège du logiciel Cisco Secure FMC. Un attaquant distant non authentifié peut utiliser ces identifiants pour se connecter à un système affecté et accéder à des données sensibles. Cisco a confirmé une exploitation active en zero-day détectée en juillet 2026. La sévérité est rehaussée au niveau High car l’accès peut être combiné avec d’autres vulnérabilités FMC pour une élévation de privilèges. La faille affecte toutes les configurations du logiciel Secure FMC, mais n’impacte pas Cloud-Delivered FMC, Firewall Device Manager, Secure Firewall ASA Software, Secure Firewall Threat Defense Software, ni Security Cloud Control. ...