Cisco l’a confirmé hier par la voix de ses chercheurs : les deux failles du Secure Firewall Management Center, le centre de gestion de ses pare-feu d’entreprise, sont bien exploitées en ce moment. Pas par un groupe, mais par trois, avec des profils très différents : un opérateur de ransomware, une équipe liée au renseignement militaire russe et un trio spécialisé dans le vol d’identifiants. Le composant censé protéger le réseau est devenu le meilleur point d’entrée, et les correctifs existants n’attendent plus que d’être appliqués.
Deux failles, trois groupes, une preuve
Secure Firewall Management Center, ou FMC, c’est la console qui administre les pare-feu Cisco d’une organisation. Depuis cette interface unique, un administrateur écrit les règles qui décident de ce qui passe ou non sur le réseau. Celui qui s’y installe voit tout et pilote tout, ce qui explique l’appétit des pirates.
La première faille, CVE-2026-20079, atteint la note maximale de 10 sur 10 sur l’échelle CVSS, l’indicateur de gravité des vulnérabilités. Elle permet à un attaquant qui n’a ni compte ni mot de passe de contourner l’authentification et d’exécuter des scripts avec les droits les plus élevés de la machine. La seconde, CVE-2026-20316, notée 5,3 sur 10, laisse se connecter avec un identifiant laissé dans le produit, un compte peu privilégié qui sert surtout de première porte pour en ouvrir d’autres.
Ces deux failles étaient connues depuis juillet et les correctifs existaient déjà. Ce qui change avec le rapport de Cisco Talos, l’équipe de chercheurs en sécurité de l’éditeur, c’est la preuve par le terrain : trois campagnes d’intrusion ont été analysées en détail, pas seulement suspectées.
Qilin : du pare-feu au ransomware en quelques heures
Le premier groupe, suivi sous le nom UAT-11988 et associé avec une confiance élevée aux affiliés du ransomware Qilin, suit un plan d’invasion méthodique. Connexion avec l’identifiant caché, puis reconnaissance complète de l’entreprise avec les outils internes du pare-feu : listes de machines, mots de passe de comptes de service, accès de bases de données, cartographie des serveurs. Les données volées partent ensuite par de simples requêtes web, noyées dans le trafic ordinaire.
Suivent des tunnels d’accès pour revenir à tout moment, des outils conçus pour désactiver les antivirus, puis le chiffrement des machines choisies par le ransomware. Aucun exploit spectaculaire dans cette chaîne : un identifiant oublié, et la forteresse s’ouvre de l’intérieur.
La porte dérobée qui revient toujours
Le deuxième groupe, UAT-11823, joue dans une autre cour. Ses outils se recoupent avec ceux de Sandworm, une unité liée au renseignement militaire russe, déjà désignée pour des attaques contre des infrastructures critiques. Après l’intrusion, il installe une variante de Cyclops Blink, une porte dérobée (un logiciel caché qui redonne le contrôle de la machine à distance) identifiée en 2022 et déjà attribuée à Sandworm par les États-Unis et le Royaume-Uni.
✉️ Un moment, avant de continuer la lecture…
Le rendez-vous du dimanche : un extrait de la chronique « Un pavé dans la tech », les 4-5 infos qui comptent et un aperçu de la semaine à venir. Inscription gratuite, désinscription en un clic.
Sa particularité : elle se réinstalle après chaque redémarrage, aspire des identifiants, observe le trafic réseau et exécute des commandes à distance. Le troisième groupe, UAT-12197, reste plus discret : une page web cachée dans le serveur du produit, un petit exécuteur de commandes, et des identifiants d’utilisateurs piochés dans les bases internes. Moins spectaculaire, tout aussi utile pour préparer la prochaine attaque.
Le correctif existe, il ne reste qu’à l’appliquer
Le message de Cisco est sans ambiguïté : appliquer immédiatement les correctifs déjà publiés, sans attendre le pack de durcissement plus complet prévu la semaine du 14 septembre. Les signatures de détection du jour sont déjà intégrées aux défenses Cisco, et les indicateurs de compromission, adresses et empreintes de fichiers, sont en téléchargement libre sur le dépôt GitHub de Talos.
Ce type de confirmation s’enchaîne : la faille Cisco notée 10 sur 10 est entrée hier au catalogue KEV de la CISA, la liste officielle des exploitations avérées, et ce matin même l’agence documentait des ransomware à l’œuvre sur des pare-feu WatchGuard.
Pour un lecteur qui n’administre pas de pare-feu d’entreprise, l’intérêt reste entier : tout équipement de sécurité est aussi une porte d’entrée, rarement redémarré et trop souvent oublié dans les mises à jour. Ce qui protège le réseau doit être protégé comme le reste, sinon il devient le raccourci préféré des pirates.
Sources
Cisco Talos détaille les trois groupes d’attaque, leurs techniques et les indicateurs de compromission.
L’avis de sécurité Cisco recense les versions concernées par CVE-2026-20079 et les correctifs à installer.
BleepingComputer revient sur le contexte des divulgations de juillet et la réponse de l’éditeur.
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet