Cisco FMC & Unified CM au KEV : quand Cisco note ses failles plus haut que le CVSS

Deux vulnérabilités Cisco ont été ajoutées au catalogue CISA KEV cet été : CVE-2026-20316 dans Secure Firewall Management Center (FMC) et CVE-2026-20230 dans Unified Communications Manager. Leurs scores CVSS respectifs — 5.3 et 8.6 — suggèrent une urgence modérée.

Sauf que dans les deux cas, Cisco a explicitement relevé sa propre notation au-dessus du CVSS, et le dit noir sur blanc dans ses advisories. C'est suffisamment rare pour mériter un article : ces deux CVE sont un cas d'école de la limite du CVSS comme outil de priorisation.

CVE-2026-20316 — Mot de passe codé en dur dans Cisco Secure FMC

Le bug

L'interface web de FMC contient des identifiants statiques pour un compte à faibles privilèges. Un attaquant non authentifié à distance peut s'en servir pour se connecter et accéder à des données sensibles.

Cisco écrit dans son advisory :

Cisco has assigned this security advisory a Security Impact Rating (SIR) of High rather than Medium as the score indicates. The reason is that this vulnerability can be used with other Cisco Secure FMC Software vulnerabilities to elevate privileges.

Voilà l'essentiel. Le CVSS ne mesure que l'impact direct — ici la lecture de données par un compte peu privilégié, d'où C:L/I:N/A:N. Mais le CVSS ne modélise pas la chaînabilité, et c'est précisément là que réside le danger : ce compte constitue le point d'entrée authentifié dont d'autres failles FMC ont besoin.

Pourquoi FMC est une cible critique

FMC n'est pas un serveur applicatif ordinaire — c'est la console d'administration centralisée de tous tes firewalls Cisco Secure. Une compromission complète permet de :

• Modifier les politiques de filtrage sur l'ensemble du parc de firewalls
• Autoriser des flux vers une infrastructure C2
• Désactiver l'inspection IPS sur des hôtes ciblés
• Supprimer ou détourner les logs envoyés au SIEM

Autrement dit : compromettre FMC, c'est compromettre la posture réseau de toute l'organisation d'un seul point.

Versions

Références de version dans les données NVD : 7.0.9, 7.2.11, 7.3.1.2, 7.4.7, 7.6.5.

⚠️ Ces valeurs correspondent aux bornes exposées par NVD et ressemblent aux first fixed releases Cisco. Vérifie l'advisory officiel Cisco pour la version corrigée exacte de ta branche.

CVE-2026-20230 — SSRF Unified CM menant à root

Le bug

Une validation d'entrée insuffisante sur certaines requêtes HTTP permet à un attaquant non authentifié de déclencher une Server-Side Request Forgery. La conséquence, telle que décrite par Cisco, va bien au-delà du SSRF classique :

A successful exploit could allow the attacker to write files to the underlying operating system that could be used later to elevate to root.

Écriture de fichiers arbitraires sur le système de fichiers de l'appliance → escalade vers root. Là encore, Cisco relève sa notation :

Cisco has assigned this security advisory a Security Impact Rating (SIR) of Critical rather than High as the score indicates. The reason is that exploitation of this vulnerability could result in an attacker elevating privileges to root.

Le C:N (aucun impact confidentialité) dans le vecteur explique le 8.6 plutôt que 9.x — le SSRF lui-même ne lit rien. Mais l'écriture de fichier (I:H) combinée au scope changé (S:C) ouvre la voie au root.

Condition d'exploitation importante

To exploit this vulnerability, the WebDialer service must be enabled. WebDialer is disabled by default.

C'est une nuance qui change la priorisation : si tu n'utilises pas WebDialer, ton exposition est nulle. Vérifie-le avant de déclencher une fenêtre de maintenance d'urgence sur un système téléphonique en production.

Versions

Références NVD : 14su6, 15su4a.

Détection et IOC

Cisco Secure FMC

Le compte statique étant à faibles privilèges, l'exploitation ressemble à une connexion légitime. Cherche donc l'anomalie contextuelle plutôt que l'erreur :

• Connexions réussies à l'interface web FMC depuis des IP externes ou non-management
• Connexions d'un compte de service jamais utilisé par tes équipes
• Sessions en dehors des heures ouvrées

# Sur FMC — journal d'audit
System > Monitoring > Audit

Filtre sur les événements de login et croise avec ta liste d'IP d'administration autorisées.

Cisco Unified CM

D'abord, la seule question qui compte :

# Vérifier si WebDialer est actif
Cisco Unified Serviceability > Tools > Service Activation

Si WebDialer est désactivé, tu n'es pas exposé à CVE-2026-20230.

S'il est actif, cherche dans les traces :

• Requêtes HTTP malformées vers les endpoints WebDialer
• Apparition de fichiers inattendus sur le système de fichiers de l'appliance
• Connexions sortantes depuis Unified CM vers des destinations non liées à la téléphonie

Au niveau réseau

Dans les deux cas, le meilleur indicateur reste la joignabilité. Ni FMC ni Unified CM ne devraient être accessibles depuis Internet ni depuis le VLAN utilisateurs. Un scan depuis un poste utilisateur standard te dira immédiatement si ta segmentation tient.

Mitigation et patch

Priorité 1 — FMC

FMC pilote tes firewalls : c'est le maillon dont la compromission a le plus grand rayon d'action. Applique le correctif Cisco pour ta branche, et par précaution, fais tourner les credentials de tous les comptes FMC (le compte statique n'est pas le seul concerné si un attaquant a déjà escaladé).

Priorité 2 — Unified CM

1. Vérifie l'état de WebDialer. Si tu ne l'utilises pas, désactive-le — c'est une mitigation immédiate et sans coût
2. Applique le correctif Cisco lors de la prochaine fenêtre

Durcissement durable

• Segmentation : FMC et Unified CM sur un VLAN de management strict, accessible uniquement depuis un bastion
• ACL sur les interfaces d'administration, limitées aux IP d'administration
• Journaux centralisés vers un SIEM externe — un attaquant qui compromet FMC peut effacer les logs locaux, pas ceux déjà exportés
• Revue des services activés : la leçon de WebDialer s'applique partout. Chaque service activé « au cas où » est une surface d'attaque gratuite

Ce que ces deux CVE apprennent sur la priorisation

Si tu tries ton backlog de patching par score CVSS décroissant, ces deux CVE atterrissent respectivement en milieu et bas de liste — alors que l'éditeur lui-même les classe High et Critical, et que la CISA impose une remédiation en trois jours.

Trois signaux valent mieux qu'un score :

1. La présence au KEV — exploitation confirmée dans la nature, ce que le CVSS n'exprime pas
2. La notation de l'éditeur (SIR chez Cisco) — elle intègre la chaînabilité que le CVSS ignore
3. La criticité du rôle de l'équipement — une faille moyenne sur la console qui pilote tous tes firewalls pèse plus lourd qu'une faille critique sur un serveur isolé

Pourquoi surveiller en continu vos équipements réseau

Les consoles d'administration et les appliances réseau sont rarement dans les inventaires de vulnérabilités : elles n'ont pas d'agent, ne remontent pas dans les scans d'OS, et leurs advisories vivent sur les portails constructeurs que personne ne lit quotidiennement. Résultat : des CVE au KEV avec échéance à trois jours passent inaperçues plusieurs semaines.

Avec cveo.tech, inventorie tes équipements Cisco, Fortinet, Palo Alto et autres appliances au même titre que tes serveurs, et reçois une alerte automatique dès qu'une CVE — a fortiori une CVE au KEV — cible une de tes versions exactes.