CVE-2026-76504 touche Cisco Catalyst SD-WAN Manager, la console centrale qui pilote l'ensemble d'un réseau SD-WAN Cisco. Publiée par NVD le 30 septembre 2026 et ajoutée le même jour au catalogue KEV de la CISA : elle est donc déjà exploitée. Échéance fixée par la CISA aux agences fédérales : 3 octobre.
| Champ | Valeur |
|---|---|
| CVSS 3.1 | 9.8 (CRITICAL) |
| Vecteur | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Publication NVD | 2026-09-30 |
| CISA KEV | ajoutée le 2026-09-30, échéance 2026-10-03 |
Ce que fait la faille
La faille se situe dans la gestion de l'authentification par session de l'API.
This vulnerability is due to improper handling of URI encoding in an HTTP request, which allows the request to bypass an authentication rule
Autrement dit : une règle d'authentification censée protéger un point d'API précis ne reconnaît pas la requête quand l'URI est encodée d'une certaine façon. La requête passe à côté du contrôle, et l'attaquant obtient un accès à l'API avec les privilèges de l'utilisateur admin. Sans identifiants, à distance.
C'est une classe de faille classique : le composant qui décide (la règle d'accès) et le composant qui route (le serveur applicatif) ne normalisent pas l'URL de la même manière. Je ne détaille pas plus le mécanisme ; l'avis Cisco est la référence.
Pourquoi c'est grave
SD-WAN Manager n'est pas un équipement parmi d'autres. C'est le plan de gestion de tout le réseau étendu :
- il pousse les configurations et les politiques vers tous les routeurs SD-WAN du parc
- il détient les modèles, les politiques de routage et de segmentation, et souvent les secrets associés
- un accès admin à son API permet de modifier le comportement de tous les sites d'un coup
Une compromission ici, c'est potentiellement la redirection du trafic, l'ouverture de chemins entre segments isolés, ou la coupure de sites entiers.
Versions
NVD liste les bornes suivantes :
| Branche | Borne NVD |
|---|---|
| 20.9 | 20.9.10.1 |
| 20.12 | 20.12.8.2 |
| 20.15 | 20.15.6.1 |
| 20.18 | 20.18.4.1 |
| 26.1 | 26.1.2.1 |
Ce sont des bornes issues de NVD, pas nécessairement les versions corrigées à installer. Reporte-toi à l'avis de sécurité Cisco pour la version de correction de ta branche, et vérifie le statut des branches en fin de support.
Détection
- Journaux d'audit de SD-WAN Manager : actions administratives (changements de modèles, de politiques, de comptes) qui ne correspondent à aucune intervention planifiée
- Accès à l'API depuis des adresses sources extérieures à tes réseaux d'administration
- Comptes ou jetons d'API récemment créés
- Configurations poussées vers les routeurs sans ticket de changement associé — à comparer avec ta dernière sauvegarde connue
Mitigation
- Appliquer la version corrigée Cisco pour ta branche. L'échéance CISA est au 3 octobre : traite-la comme une urgence.
- Retirer l'interface de gestion d'Internet. SD-WAN Manager n'a aucune raison d'être joignable hors des réseaux d'administration et du plan de contrôle.
- Restreindre l'accès à l'API par listes de contrôle d'accès, en amont de l'équipement.
- Contrôler l'intégrité des modèles et politiques actuels par rapport à une sauvegarde antérieure à la publication.
- En cas de doute sur une compromission : faire tourner les identifiants administrateurs et les secrets d'intégration, et suivre les recommandations d'investigation de l'avis Cisco.
Pourquoi surveiller vos consoles réseau en continu
Une console de gestion SD-WAN donne la main sur tous les sites à la fois. Quand une CVE 9.8 y entre au KEV le jour même de sa publication, la fenêtre de réaction se compte en jours, et elle suppose de savoir immédiatement quelle version tourne où.
Avec cveo.tech, inventorie tes consoles et équipements réseau avec leur version exacte, et reçois une alerte dès qu'une CVE au CISA KEV les concerne.