En bref

  • CVE-2026-20093 (CVSS 9.8) : contournement d'authentification dans Cisco IMC permettant la prise de contrôle Admin des serveurs UCS
  • CVE-2026-20160 (CVSS 9.8) : exécution de commandes root à distance dans Cisco SSM On-Prem
  • Action urgente : appliquer les correctifs Cisco pour IMC (4.15.5 / 4.3.x / 6.0.x) et SSM On-Prem (9-202601)

Les faits

Cisco a publié début avril 2026 des correctifs de sécurité pour deux vulnérabilités critiques affectant Cisco Integrated Management Controller (IMC) et Cisco Smart Software Manager On-Prem (SSM On-Prem). Les deux failles ont reçu le score CVSS maximal de 9.8 sur 10, les plaçant parmi les vulnérabilités les plus sévères divulguées en 2026. La première, CVE-2026-20093, est un contournement d'authentification dans Cisco IMC causé par une gestion incorrecte des requêtes de changement de mot de passe. Un attaquant distant non authentifié peut envoyer une requête HTTP forgée pour modifier le mot de passe de n'importe quel utilisateur du système, y compris le compte administrateur.

La seconde vulnérabilité, CVE-2026-20160, concerne Cisco SSM On-Prem et résulte de l'exposition involontaire d'un service interne. Un attaquant peut envoyer des requêtes spécialement forgées à l'API du service exposé pour exécuter des commandes sur le système d'exploitation sous-jacent avec des privilèges root. Selon Cisco et les analystes de sécurité, ces deux failles ne sont pas encore exploitées activement dans la nature, mais l'historique récent montre que les vulnérabilités Cisco critiques sont rapidement ciblées par les groupes d'attaquants après leur divulgation. L'agence de cybersécurité de Singapour (CSA) a également émis un bulletin d'alerte critique à ce sujet.

Impact et exposition

CVE-2026-20093 affecte les serveurs Cisco UCS série 5000 ENCS et les serveurs rack UCS série C M5 et M6 en mode autonome. La compromission d'un contrôleur IMC donne un accès complet à la gestion matérielle du serveur : redémarrage, modification du BIOS, montage d'images ISO, et contrôle total de l'infrastructure sous-jacente. CVE-2026-20160 touche les déploiements Cisco SSM On-Prem utilisés pour gérer les licences logicielles Cisco en environnement déconnecté. L'exécution de commandes root sur ce serveur permet à un attaquant de pivoter vers d'autres systèmes du réseau ou de manipuler les licences de l'infrastructure Cisco. Les organisations utilisant ces produits dans des réseaux accessibles depuis Internet ou des segments réseau peu segmentés sont particulièrement exposées. Le score CVSS de 9.8 reflète la facilité d'exploitation et l'absence de conditions préalables complexes.

Recommandations immédiates

  • Mettre à jour Cisco IMC vers les versions corrigées : 4.15.5 (ENCS 5000), 4.3(2.260007), 4.3(6.260017) ou 6.0(1.250174) selon le modèle — Cisco Security Advisory cisco-sa-imc-auth-bypass-2026
  • Mettre à jour Cisco SSM On-Prem vers la version 9-202601 — Cisco Security Advisory cisco-sa-ssm-rce-2026
  • Restreindre l'accès réseau aux interfaces de gestion IMC et SSM On-Prem aux seules adresses IP autorisées
  • Auditer les journaux d'accès des interfaces IMC et SSM pour détecter toute tentative de requête anormale
  • Segmenter les réseaux de gestion (out-of-band management) pour limiter la surface d'attaque en cas de compromission

⚠️ Urgence

Bien que ces vulnérabilités ne soient pas encore exploitées activement, leur score CVSS de 9.8 et la simplicité d'exploitation rendent une weaponisation imminente très probable. Les vulnérabilités Cisco critiques récentes ont été exploitées dans les jours suivant leur divulgation. Appliquez les correctifs sans délai.

Comment vérifier si mes serveurs Cisco sont vulnérables ?

Pour Cisco IMC, connectez-vous à l'interface web de gestion du serveur UCS et vérifiez la version du firmware dans le tableau de bord système. Les versions antérieures à 4.15.5 (ENCS 5000) ou 4.3(2.260007) (UCS C-Series) sont vulnérables. Pour SSM On-Prem, vérifiez la version installée dans l'interface d'administration : toute version antérieure à 9-202601 est concernée. Vous pouvez également utiliser la commande show version sur l'interface CLI de l'IMC. Consultez les bulletins Cisco pour la liste complète des versions affectées et corrigées selon votre modèle de serveur.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités.

Demander un audit