Cisco ISE et Webex : 4 failles critiques CVSS jusqu'à 9.9

Quatre failles critiques corrigées en bloc

Cisco a publié mi-avril 2026 un train de correctifs d'urgence couvrant quatre vulnérabilités critiques affectant deux piliers de son catalogue professionnel : Identity Services Engine (ISE), la plateforme de contrôle d'accès réseau déployée dans des dizaines de milliers d'entreprises, et Webex Services, la suite collaborative cloud utilisée par des centaines de millions d'utilisateurs professionnels. La plus sévère, référencée CVE-2026-20184 avec un score CVSS de 9.8, concerne l'intégration SSO de Webex avec Control Hub et permet à un attaquant distant non authentifié de se faire passer pour n'importe quel utilisateur du service. Les trois autres, numérotées CVE-2026-20147, CVE-2026-20180 et CVE-2026-20186, affectent ISE et montent jusqu'à 9.9 sur l'échelle CVSS : elles autorisent l'exécution de code arbitraire ou l'évasion vers le système d'exploitation sous-jacent, parfois avec de simples privilèges de lecture seule. Cisco affirme ne pas avoir observé d'exploitation active à ce stade, mais la combinaison de ces quatre vecteurs dessine un scénario de compromission totale du SI pour les organisations exposées.

Le détail des failles ISE révèle une mécanique inquiétante : CVE-2026-20147 permet à un attaquant authentifié à distance d'effectuer de l'exécution de code ou du path traversal, tandis que CVE-2026-20180 et CVE-2026-20186 permettent à un compte admin en lecture seule d'exécuter des commandes arbitraires sur l'OS hôte. Cisco décrit ces vulnérabilités comme résultant d'une validation d'entrée insuffisante dans l'interface web d'administration, un type de défaut récurrent dans les appliances de sécurité qui rappelle les deux failles critiques FortiClient EMS exploitées dès mars 2026.

Pour Webex, qui est opéré en mode cloud, Cisco a déjà déployé les correctifs côté infrastructure. Les clients utilisant le SSO doivent néanmoins téléverser un nouveau certificat SAML IdP dans Control Hub pour compléter la remédiation, une opération manuelle qui ne peut pas être automatisée. L'éditeur précise qu'aucune divulgation publique ni exploitation active n'a été observée, mais recommande d'appliquer la procédure sans délai, dans la continuité du Patch Tuesday Microsoft d'avril qui corrigeait déjà un zero-day SharePoint activement exploité.

Pourquoi c'est important

Cisco ISE est le cœur de la politique NAC (Network Access Control) de nombreuses grandes entreprises et administrations. Une RCE non authentifiée sur cet équipement signifie potentiellement la capacité, pour un attaquant, de manipuler les politiques d'accès réseau, d'autoriser des machines compromises à traverser les VLAN sensibles, ou d'exfiltrer en clair les credentials 802.1X de l'ensemble des postes du parc. Pour un opérateur d'importance vitale ou un établissement de santé, l'enjeu dépasse le simple correctif : il impose une revue complète des chaînes d'authentification.

Du côté Webex, la vulnérabilité SSO (CVE-2026-20184) est particulièrement dangereuse parce qu'elle permet à un attaquant d'obtenir l'identité de n'importe quel utilisateur, y compris administrateur, sans aucune interaction. Les réunions confidentielles, les partages de documents, les historiques de messagerie deviennent accessibles tant que le certificat IdP compromis reste actif. Cette classe de faille SSO, de plus en plus fréquente, s'inscrit dans un contexte où les compromissions de plateformes collaboratives enfilent les perles : compromission OAuth Workspace via Context.ai chez Vercel, ultimatum ShinyHunters visant des grandes enseignes. Les équipes sécurité doivent désormais considérer le SSO comme une surface critique et l'auditer au même titre qu'un serveur exposé sur Internet.