Cisco Unified CM et Snort 3 : quatre CVE critiques issues d'une revue interne

Le 21 octobre 2026, Cisco a publié dans NVD quatre CVE critiques d'un genre inhabituel. Elles ne viennent ni d'un chercheur externe ni d'une exploitation constatée : elles sont le produit de revues de sécurité internes menées par Cisco sur deux familles de produits, sa plateforme de communications unifiées (Unified CM et produits associés) et le moteur de détection open source Snort 3. Ces revues ont débouché sur des « versions de durcissement » qui corrigent, selon les termes de Cisco, de multiples vulnérabilités découvertes en interne.

Le point qui doit retenir ton attention : deux de ces CVE sont notées 9.8, avec un vecteur qui n'exige ni authentification ni interaction. Et les descriptions publiées ne disent presque rien du mécanisme.

Les quatre CVE

Tous les scores sont attribués par Cisco en tant que CNA (psirt@cisco.com). Les quatre CVE sont au statut Awaiting Analysis dans NVD : aucune configuration CPE, aucune plage de versions.

Les « produits de la plateforme voix » sont, d'après la description NVD : Cisco Emergency Responder, Cisco Prime Collaboration Deployment, Cisco Unified Communications Manager (Unified CM), Unified CM IM & Presence Service, Unified CM Session Management Edition et Cisco Unity Connection.

Ce que disent (et ne disent pas) les descriptions

Les trois CVE de la plateforme voix reprennent le même texte : une revue interne complète, des versions de durcissement, puis une seule phrase qui rattache la CVE à une catégorie de faiblesse. Aucun nom de composant, aucun point d'entrée, aucun paramètre. C'est volontaire : Cisco regroupe plusieurs défauts internes sous chaque identifiant et renvoie à son advisory pour le reste.

CVE-2026-76474 : authentification incorrecte, 9.8

Un défaut d'authentification coté sans privilège requis et sans interaction, avec impact total sur la confidentialité, l'intégrité et la disponibilité : c'est le profil d'une prise de contrôle à distance d'un serveur qui porte la téléphonie de l'entreprise. C'est la CVE à traiter en priorité.

CVE-2026-76473 : « contrôle d'une ressource sur sa durée de vie », 9.8

Détail à noter : la description parle de « improper control of a resource through its lifetime », alors que la CWE citée, CWE-74, désigne une famille d'injections (neutralisation incorrecte d'éléments spéciaux transmis à un composant en aval). Le libellé et le numéro ne racontent pas la même histoire. On ne peut pas trancher avec les seules données NVD : l'advisory Cisco fait foi. Le vecteur, lui, est le même que pour CVE-2026-76474.

CVE-2026-76475 : XSS, 9.3

Un XSS rarement atteint ce niveau. Ici, UI:R impose qu'un utilisateur clique ou ouvre une page piégée, mais S:C et un impact élevé en confidentialité et en intégrité signifient que le script s'exécute dans un contexte qui donne accès à bien plus que la page elle-même. Sur une console d'administration Unified CM, la cible naturelle est la session d'un administrateur : c'est une lecture du vecteur, pas une information publiée par Cisco.

CVE-2026-20043 : Snort 3, écriture hors limites, 9.0

Même démarche, côté Snort 3 : une revue interne par l'équipe Cisco qui maintient le moteur, des versions de durcissement, et une CVE qui regroupe des écritures hors limites. La complexité est élevée (AC:H), mais il n'y a ni authentification ni interaction. Un moteur IDS/IPS analyse par définition du trafic choisi par l'attaquant : une écriture mémoire hors limites dans ce type de composant est un défaut qu'il ne faut pas laisser traîner, même avec une exploitation jugée difficile.

Versions affectées

NVD ne publie aucune plage de versions pour ces quatre CVE, et aucune version corrigée. Les seules sources sont les deux advisories Cisco référencés par NVD :

• Plateforme voix : cisco-sa-voice-hardening-twgbH9e3
• Snort 3 : cisco-sa-hardening-snort3-ybgmhTQe

Ce sont eux qui listent les versions de durcissement à installer pour chaque produit. Ne déduis pas une version cible d'un autre bulletin.

Détection

Les descriptions ne donnent aucun indicateur exploitable : pas de point d'entrée, pas de paramètre. La détection se ramène donc à l'exposition et à l'hygiène :

• Inventaire : liste tes serveurs Unified CM, IM & Presence, SME, Unity Connection, Emergency Responder et Prime Collaboration Deployment, avec leur version exacte.
• Exposition : vérifie que leurs interfaces web d'administration et d'utilisateur ne sont joignables que depuis les réseaux qui en ont besoin.
• Comptes d'administration : recherche des connexions ou des modifications de configuration hors des fenêtres habituelles.
• Snort 3 : identifie où le moteur tourne chez toi, en déploiement autonome ou intégré, et quelle version est en service.

Mitigation

1. Lis les deux advisories et installe les versions de durcissement indiquées pour chaque produit. Deux CVE à 9.8 sans authentification justifient une fenêtre de maintenance rapprochée sur la téléphonie.
2. Restreins l'accès réseau aux interfaces d'administration de la plateforme voix : VLAN d'administration, liste d'accès, aucune exposition Internet directe.
3. Sensibilise les administrateurs au risque de CVE-2026-76475 : pas de clic sur un lien vers la console reçu par mail ou messagerie tant que le correctif n'est pas appliqué.
4. Pour Snort 3, mets à jour le moteur ou le produit qui l'embarque selon l'advisory dédié.

Ce n'est pas la première fois cette année que Unified CM fait l'objet d'une alerte critique : voir notre article sur l'ajout de Unified CM au catalogue KEV en juillet.

Pourquoi surveiller en continu ta plateforme Cisco

Les CVE issues de revues internes sont faciles à rater : pas de nom accrocheur, pas de preuve de concept, une description générique qui ne cite aucun composant. Elles arrivent pourtant avec des scores à 9.8. La seule façon de ne pas les manquer est de savoir, à tout moment, quelles versions de quels produits Cisco tournent chez toi.

Avec cveo.tech, déclare tes serveurs Unified CM, Unity Connection ou tes sondes Snort avec leur version, et reçois une alerte dès qu'une CVE critique les vise.