Trois éditeurs, trois pare-feux ou passerelles d’accès, une seule urgence commune : la CISA a ajouté début septembre 2026 des vulnérabilités Cisco, Citrix et Fortinet à son catalogue Known Exploited Vulnerabilities (KEV), avec un délai de correction fixé au 12 septembre 2026 pour les agences fédérales américaines. Ce délai ne s’applique pas à toi si tu n’es pas une agence fédérale US — mais l’exploitation active, elle, ne fait pas de distinction de juridiction.
La plus critique des trois n’a même pas besoin qu’on discute de son score : CVSS 10.0, le maximum de l’échelle. Détail de ce qu’il faut corriger, et dans quel ordre.
CVE-2026-20079 : Cisco Secure FMC, root sans authentification
La faille touche Cisco Secure Firewall Management Center (toutes versions antérieures aux correctifs listés ci-dessous) ainsi que la gestion de pare-feu via Security Cloud Control (SCC). Elle ne concerne pas Firewall Device Manager, ASA, FTD ni SCC Defense Orchestrator — si tu gères tes pare-feux Cisco uniquement via FDM, tu n’es pas dans le périmètre de cette CVE précise (mais garde un œil sur les autres).
Le problème : un attaquant non authentifié peut contourner l’authentification de l’interface web et exécuter des scripts avec des privilèges root. Pas de contournement de configuration possible — l’avis officiel Cisco est catégorique : aucun workaround, seule la mise à jour logicielle corrige le problème. La vulnérabilité était en fait publiée depuis le 4 mars 2026, mais son exploitation active n’a été confirmée qu’en août, avec trois clusters de post-compromission identifiés déployant web shells et malwares.
| Version installée | Corrigée à partir de |
|---|---|
| 7.0 et antérieures | 7.0.10 |
| 7.2 | 7.2.12 |
| 7.4 | 7.4.8 |
| 7.6 | 7.6.6 |
| 7.7 | 7.7.13 |
| 10.0 | 10.0.2 |
| 10.1 | 10.1.0 |
Si ton FMC n’a pas reçu de mise à jour depuis mars, ce n’est plus une tâche de maintenance planifiable au prochain sprint. C’est un patch d’urgence, au même titre que ce qu’on décrivait pour la faille GitLab CVSS 10 de septembre — même score, même logique : root ou accès administrateur sans mot de passe valide, ça ne se traite pas en fin de semaine.
CVE-2026-19490 : Citrix NetScaler, l’autre porte d’entrée
Deuxième dossier, chez Citrix cette fois : CVE-2026-19490 (score CVSS 9.3, contournement d’authentification) et sa voisine CVE-2026-19489 (score 8.8, dépassement de mémoire tampon) touchent NetScaler ADC et NetScaler Gateway configurés en serveur AAA ou Gateway, y compris les déploiements Secure Private Access Hybrid qui s’appuient sur des instances NetScaler.
Versions concernées et correctifs, d’après le bulletin de sécurité officiel Citrix (publié le 19 août 2026) :
- NetScaler ADC/Gateway 14.1 antérieur à 14.1-73.32 → corrigé en 14.1-73.32
- NetScaler ADC/Gateway 13.1 antérieur à 13.1-63.21 → corrigé en 13.1-63.21
- Variantes FIPS 14.1 antérieures à 14.1-73.32 FIPS → corrigées en 14.1-73.32 FIPS
- Variantes FIPS/NDcPP 13.1 antérieures à 13.1-37.277 → corrigées en 13.1-37.277
La CISA a recensé 56 tentatives d’exploitation via honeypot depuis le 3 septembre, dont 36 en une seule journée le 8 septembre — la courbe monte, elle ne redescend pas. Si ton NetScaler expose une interface de gestion ou un portail Gateway côté internet sans être à jour, ce n’est plus une question de « si » mais de « quand ».
CVE-2025-25249 : la doyenne, mais toujours active
La troisième CVE de la liste, CVE-2025-25249 (CVSS 7.3, dépassement de tampon basé sur le tas), touche FortiOS, FortiSwitchManager et FortiSASE, avec un risque d’exécution de code à distance. Contrairement aux deux précédentes, cette faille est plus ancienne — mais elle reste activement exploitée depuis juillet 2026 pour déployer le malware PivotC2, avec plus de 3 000 adresses IP visées et 178 appareils confirmés infectés. Les acteurs identifiés sont majoritairement russophones.
Score plus bas que les deux autres, certes, mais ne t’y trompe pas : une backdoor persistante sur un pare-feu périmétrique vaut largement le déplacement, même à CVSS 7.3.
Ce que ça dit de la tendance 2026
Trois vulnérabilités, trois éditeurs différents, tous dans la même famille de produits : des équipements de sécurité périmétrique — pare-feu, passerelle d’accès distant, gestion de firewall. Le motif se répète depuis le début de l’année : les attaquants ciblent en priorité les briques censées protéger le réseau, précisément parce qu’elles sont exposées sur internet et détiennent des privilèges élevés une fois compromises. Un contournement d’authentification sur un firewall manager, c’est directement les clés du réseau — pas une simple fuite d’information à corriger « quand on aura le temps ».
Si ton organisation applique déjà une cadence de patch mensuelle façon Patch Tuesday, ces trois CVE ne rentrent pas dans ce cycle : une exploitation active confirmée par la CISA justifie un correctif hors cycle, dans les jours qui suivent l’alerte, pas au prochain calendrier de maintenance.
FAQ
Comment savoir si mon FMC ou mon NetScaler a déjà été compromis ?
Cisco et Citrix publient tous les deux des indicateurs de compromission dans leurs avis respectifs (logs d’authentification anormaux, fichiers webshell déposés, comptes créés hors process). Vérifie en priorité les connexions administratives depuis des IP inhabituelles sur les fenêtres correspondant aux dates d’exploitation active mentionnées (août 2026 pour Cisco, début septembre pour Citrix).
Le patch seul suffit-il, ou faut-il aussi vérifier une compromission préalable ?
Le patch corrige la vulnérabilité, pas une éventuelle compromission déjà en place. Si ton équipement était exposé et non patché avant l’alerte, une vérification de compromission (logs, intégrité des fichiers, comptes administrateurs) est indispensable avant de considérer l’incident clos.
Ces CVE concernent-elles aussi les petites structures, ou seulement les grandes entreprises ?
L’exploitation observée par la CISA (honeypots, campagnes à large échelle façon PivotC2) cible des IP exposées sans distinction de taille d’organisation. Un NetScaler ou un FMC non patché reste une cible, quel que soit l’effectif derrière.
Faut-il redémarrer les équipements après le correctif ?
Ça dépend de la version et du mode de mise à jour (mise à jour à chaud vs. remplacement d’image) — suis strictement la procédure indiquée dans l’avis de sécurité de l’éditeur concerné plutôt qu’une procédure générique, les impacts de service diffèrent d’un produit à l’autre.
Dans les trois cas, la marche à suivre est la même : vérifie ta version installée, compare-la à la table des correctifs, et planifie la mise à jour hors cycle si tu es exposé. Un firewall ou une passerelle qui protège ton réseau ne doit jamais être, lui-même, le point d’entrée le plus simple.
Laisser un commentaire