Le 7 octobre 2026, NVD a publié deux CVE critiques Cisco qui n'ont rien en commun sur le plan technique, mais qui posent le même problème pratique : NVD ne donne aucune liste de versions affectées. Pour les deux, l'avis Cisco est la seule source qui permet de savoir si tu es concerné.
- CVE-2026-76459 (9.8) : un lot d'écritures hors limites dans Cisco NX-OS, découvertes en revue interne.
- CVE-2026-76454 (9.1) : une API sans authentification dans Cisco License On-Prem, anciennement Cisco Smart Software Manager On-Prem (SSM On-Prem).
| CVE | Produit | CVSS 3.1 | Vecteur | Publication NVD | CISA KEV |
|---|---|---|---|---|---|
| CVE-2026-76459 | Cisco NX-OS | 9.8 (CRITICAL) | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | 2026-10-07 | non (à la date de rédaction) |
| CVE-2026-76454 | Cisco License On-Prem | 9.1 (CRITICAL) | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H | 2026-10-07 | non (à la date de rédaction) |
Cisco NX-OS — CVE-2026-76459
Ce que dit NVD
La description est inhabituelle. Elle ne décrit pas une faille, elle décrit une démarche :
the Cisco NX-OS engineering team has conducted a comprehensive internal security review. This review resulted in a software hardening release that addresses multiple internally discovered vulnerabilities.
Les failles regroupées sous CVE-2026-76459 relèvent toutes de CWE-787 (écriture hors limites). Cisco a donc attribué un identifiant par catégorie de faiblesse plutôt qu'un identifiant par bug.
Ce qu'on ne sait pas
Je préfère être clair : on ne connaît ni les composants concernés, ni les conditions d'exploitation, ni les plateformes Nexus affectées. Le vecteur AV:N/PR:N dit qu'au moins une de ces failles est jugée atteignable à distance sans authentification, mais pas par quel service. NVD ne publie aucune borne de version.
Pourquoi c'est quand même à traiter
Une écriture hors limites dans un système d'exploitation réseau, c'est la classe de faille qui mène à l'exécution de code ou au plantage de l'équipement. Sur un commutateur de cœur de datacenter, un plantage est déjà un incident majeur. Et une revue interne qui produit une « release de durcissement » signifie que plusieurs défauts sont corrigés d'un coup : une fois le correctif public, la comparaison des versions devient une source d'information pour qui cherche à les retrouver.
Versions
NVD ne publie aucune version affectée ni corrigée à la date de rédaction. Utilise le Cisco Software Checker et l'avis Cisco correspondant pour identifier la release de durcissement adaptée à ta plateforme et à ton train logiciel.
Cisco License On-Prem — CVE-2026-76454
Ce que fait la faille
Cisco License On-Prem est le serveur de licences installé localement, pour les environnements qui ne peuvent pas parler directement au cloud Cisco. La faille touche son API Smart Licensing Utility :
This vulnerability is due to improper input validation and a lack of authentication in the management API.
Un attaquant distant non authentifié pourrait écrire des fichiers arbitraires sur le système ou provoquer un déni de service. Le vecteur ne mentionne pas d'impact en confidentialité (C:N), mais un fort impact en intégrité et disponibilité.
Pourquoi c'est grave
Écrire des fichiers arbitraires sur un serveur, c'est souvent la première marche vers l'exécution de code, selon ce qui peut être écrasé. Et un serveur de licences indisponible, c'est à terme des équipements Cisco qui ne valident plus leurs licences. Ce type de serveur est rarement au centre de l'attention : il est installé, il tourne, personne ne le regarde.
Versions
NVD ne publie aucune version affectée ni corrigée à la date de rédaction. Reporte-toi à l'avis Cisco pour la version de License On-Prem à installer.
Détection
NX-OS :
- Inventaire précis des versions NX-OS par équipement (
show version), à comparer à l'avis Cisco. - Redémarrages inattendus, core dumps ou crashs de processus dans les journaux système.
- Services de gestion exposés au-delà du réseau d'administration.
License On-Prem :
- Accès à l'interface et à l'API de gestion depuis des adresses hors du réseau d'administration.
- Fichiers récemment modifiés sur le système en dehors des mises à jour.
- Arrêts ou redémarrages inexpliqués du service.
Mitigation
- Identifier la release corrigée via le Cisco Software Checker pour chaque plateforme NX-OS, et planifier la mise à jour en priorité sur les équipements dont les services de gestion sont les plus exposés.
- Restreindre l'accès aux plans de gestion NX-OS (SSH, NX-API, SNMP) par ACL au seul réseau d'administration.
- Mettre à jour Cisco License On-Prem vers la version indiquée par Cisco.
- Isoler License On-Prem : son interface et son API ne doivent être accessibles que depuis le réseau d'administration. Il n'a aucune raison d'être joignable depuis Internet.
- En cas de doute sur une compromission de License On-Prem : reconstruire le serveur à partir d'une image saine plutôt que de chercher les fichiers modifiés un par un.
Pourquoi surveiller en continu tes équipements réseau
Quand NVD ne donne aucune version, un scanner qui se fie aux bornes CPE ne remontera rien, même sur un équipement affecté. Ce qui reste, c'est ton inventaire : savoir quelle version tourne sur chaque Nexus et chaque serveur de licences, pour la comparer à l'avis éditeur.
Avec cveo.tech, déclare tes équipements Cisco avec leur version exacte, et reçois une alerte dès qu'une CVE critique les concerne.