Le 8 octobre 2026, NVD a publié deux vulnérabilités critiques dans Brocade Fabric OS (Broadcom), le système des switches Fibre Channel qui portent une bonne partie des SAN d'entreprise. Les deux sont notées 9.8 et concernent, selon NVD, les versions antérieures à 10.0.1.
La première passe par la fabric elle-même, la seconde par l'interface SNMP. Deux chemins différents vers le même résultat : le contrôle d'un switch qui voit passer tout le trafic de stockage.
| CVE-2026-87659 | CVE-2026-87684 | |
|---|---|---|
| CVSS 3.1 | 9.8 (CRITICAL) | 9.8 (CRITICAL) |
| Vecteur | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Composant | Management Server | Démon SNMP (SNMPv3) |
| Publication NVD | 2026-10-08 | 2026-10-08 |
| CISA KEV | non (à la date de rédaction) | non (à la date de rédaction) |
CVE-2026-87659 : un switch de la fabric qui se fait passer pour un admin
A compromised switch connected to the fabric can transmit crafted inband Fibre Channel vendor-unique CT (Common Transport) management requests to bypass administrative authentication.
Dans une fabric Fibre Channel, les switches échangent en permanence des requêtes de gestion in-band, via le protocole Common Transport. C'est ce qui permet au Management Server de partager la topologie et l'état de la fabric. La faille : certaines de ces requêtes, spécifiques à l'éditeur, sont traitées sans vérifier l'authentification administrative.
Conséquence décrite par NVD : un switch pair non autorisé peut exécuter des actions d'administration sur le switch cible, dont la réinitialisation des mots de passe administrateur, un redémarrage et le déclenchement d'un téléchargement de firmware.
Ce dernier point est le plus inquiétant. Un firmware imposé, c'est une persistance qui survit aux changements de mot de passe et qui se loge dans un équipement que peu d'équipes auditent.
Le prérequis est un switch déjà compromis ou un équipement malveillant raccordé à la fabric. Ça paraît exigeant, mais une fabric est un domaine de confiance : un seul switch compromis peut ainsi servir de tremplin vers tous les autres. Le vecteur NVD reste AV:N/PR:N, sans privilège requis sur la cible.
CVE-2026-87684 : débordement de pile dans le démon SNMP
A remote, unauthenticated attacker (under default configuration) can exploit this vulnerability by sending a specially crafted SNMPv3 packet
En traitant un paquet SNMPv3 entrant, un gestionnaire de statistiques interne copie une donnée fournie par l'émetteur dans un tampon de taille fixe, sans contrôler sa longueur. Débordement de pile classique. NVD cite trois issues possibles : corruption mémoire, plantage du démon (déni de service), et exécution de code potentielle.
Deux précisions comptent ici : pas d'authentification requise, et configuration par défaut. Tout switch dont le service SNMP est joignable depuis un réseau non maîtrisé est donc exposé.
Pourquoi c'est grave sur un SAN
Un switch Fibre Channel n'a rien d'un équipement réseau parmi d'autres. Il porte le zonage, c'est-à-dire qui voit quel LUN. Le contrôler permet de :
- modifier le zonage et exposer des volumes à un serveur qui ne devrait pas les voir
- couper l'accès au stockage de clusters entiers, hyperviseurs et bases de données compris
- installer un firmware sur un équipement rarement surveillé par l'EDR ou le SIEM
Et les SAN sont souvent l'angle mort des programmes de patch : maintenance planifiée une à deux fois par an, fenêtres difficiles à obtenir, firmware gelé sur des versions validées par l'éditeur de la baie.
Versions
NVD indique « versions before 10.0.1 » pour les deux CVE et liste 10.0.1 comme borne. C'est une borne NVD, pas forcément la version recommandée pour ta plateforme : la matrice de compatibilité de ta baie et l'avis de sécurité Broadcom font foi pour choisir la version à installer.
Vérifie la version de Fabric OS sur chaque switch de la fabric, y compris les switches de secours et ceux d'un site distant reliés par ISL.
Détection
- Changements de mot de passe administrateur non documentés dans les journaux d'audit Fabric OS
- Redémarrages inattendus d'un switch, ou du démon SNMP
- Téléchargements de firmware hors fenêtre de maintenance, ou version de firmware qui ne correspond pas à ton inventaire
- Nouveau switch apparu dans la fabric, ou changement de topologie non planifié
- Trafic SNMPv3 vers les switches depuis des sources qui ne sont pas tes plateformes de supervision
Mitigation
- Planifier la mise à jour de Fabric OS vers une version corrigée selon l'avis Broadcom et la matrice de ta baie. Deux CVE 9.8, dont une non authentifiée : ça justifie une fenêtre de maintenance dédiée.
- Restreindre SNMP aux seules adresses de tes outils de supervision via les listes d'accès du switch, et désactiver SNMP là où il n'est pas utilisé.
- Isoler les interfaces de gestion des switches sur un réseau d'administration dédié, jamais joignable depuis le réseau utilisateur.
- Contrôler l'admission dans la fabric : vérifier la politique d'appartenance des switches proposée par Fabric OS, pour qu'un équipement non prévu ne puisse pas rejoindre la fabric.
- Auditer la version de firmware de chaque switch après mise à jour, et comparer avec l'inventaire.
- En cas de doute sur un switch : le considérer comme compromis, l'isoler de la fabric et réinstaller le firmware depuis une source vérifiée.
Pourquoi surveiller en continu vos équipements SAN
Les switches Fibre Channel sont parmi les équipements les plus critiques et les moins suivis d'un SI. Leur firmware change rarement, et une CVE critique peut y rester ouverte des mois sans que personne ne fasse le lien avec l'inventaire.
Avec cveo.tech, déclare tes switches SAN avec leur version de Fabric OS et reçois une alerte dès qu'une CVE critique les concerne.