CVE-2026-111283 touche BMC Helix Network Management en version on-prem. Publiée par NVD le 15 octobre 2026, notée 9.0 : un contournement d'authentification qui donne une session SuperAdmin sans connaître le mot de passe.
| Champ | Valeur |
|---|---|
| CVSS 3.1 | 9.0 (CRITICAL) |
| Vecteur | AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H |
| Publication NVD | 2026-10-15 |
| CISA KEV | non (à la date de rédaction) |
| Version corrigée | 26.3.01 (selon NVD) |
Ce que fait la faille
allows unauthenticated attackers to log in as the local administrator with any password when SAML single sign-on is configured
Le paradoxe est cruel : la faille n'existe que si le SSO SAML est configuré — c'est-à-dire précisément sur les installations qui ont fait l'effort de centraliser l'authentification. Dans ce cas, la page de connexion web accepte le compte administrateur local quel que soit le mot de passe saisi.
Le vecteur reflète cette condition : AC:H (complexité élevée, parce que la configuration SAML est un prérequis) et S:C (portée modifiée, parce que l'impact déborde de l'application vers les équipements qu'elle gère). D'où 9.0 plutôt que 9.8 — mais si tu as activé SAML, la condition est remplie, et la complexité ne te protège plus.
Pourquoi c'est grave : un NMS détient les clés du réseau
Un outil de gestion réseau n'est pas une application comme les autres. Il stocke les identifiants de tout le parc — comptes SSH, communautés et utilisateurs SNMP, accès aux contrôleurs — et il est autorisé à pousser des commandes sur chaque routeur, switch et pare-feu.
NVD liste ce qu'une session SuperAdmin permet ici :
- modifier les identifiants des équipements ;
- exécuter des commandes sur les équipements ;
- altérer les journaux d'audit.
Le troisième point est le plus inquiétant pour la réponse à incident : un attaquant peut effacer ses traces dans l'outil même qui devait les garder. Ne te fie donc pas uniquement à l'audit interne de la plateforme pour savoir si tu as été touché.
Versions
NVD indique les versions antérieures à 26.3.01 comme vulnérables et 26.3.01 comme version corrigée. La CVE ne concerne que l'édition on-prem ; les déploiements SaaS ne sont pas mentionnés par NVD — vérifie l'avis BMC pour ton cas.
Détection
- Sessions de l'administrateur local : sur une installation en SSO SAML, ce compte ne devrait presque jamais servir. Toute connexion récente mérite une explication.
- Journaux externes : le serveur web, le reverse proxy ou ton SIEM gardent une trace que l'attaquant n'a pas pu réécrire depuis l'application. Compare-les à l'audit interne ; une divergence est un signal fort.
- Côté équipements : changements de configuration, d'identifiants ou exécutions de commandes initiés depuis le NMS hors fenêtres de changement — regarde les journaux des routeurs et switches eux-mêmes, ou ton serveur syslog.
- Comptes et identifiants modifiés récemment dans la plateforme.
Mitigation
- Mettre à jour vers 26.3.01.
- En attendant, restreindre l'accès à l'interface web aux réseaux d'administration (VPN, bastion). Une console NMS n'a rien à faire sur Internet.
- Vérifier l'état du compte administrateur local : mot de passe fort, et désactivation ou restriction si BMC le permet en configuration SAML.
- En cas de doute sur une compromission : faire tourner tous les identifiants d'équipements stockés dans la plateforme, puis vérifier les configurations des équipements contre une sauvegarde antérieure. C'est le vrai périmètre de l'incident.
Pourquoi surveiller en continu vos outils d'administration réseau
Un NMS est l'outil le plus privilégié du réseau, et souvent le moins surveillé. Une CVE qui ne se déclenche qu'avec le SSO activé rappelle qu'une bonne pratique de sécurité ne remplace pas une veille de version.
Avec cveo.tech, inventorie tes outils d'administration réseau avec leur version exacte et reçois une alerte dès qu'une CVE critique les concerne.