Cisco IMC et SSM : deux failles critiques CVSS 9.8 corrigées

Les faits

Cisco a publié début avril 2026 des correctifs de sécurité pour deux vulnérabilités critiques affectant Cisco Integrated Management Controller (IMC) et Cisco Smart Software Manager On-Prem (SSM On-Prem). Ces deux failles se voient attribuer un score CVSS de 9.8 sur 10, ce qui les place parmi les vulnérabilités les plus sévères divulguées en 2026. La première, CVE-2026-20093, est un contournement d'authentification dans l'interface de gestion de Cisco IMC : un attaquant distant non authentifié peut l'exploiter pour obtenir un accès administrateur complet au contrôleur, et donc à la couche matérielle des serveurs concernés. La seconde touche SSM On-Prem et permet, selon des modalités comparables, une prise de contrôle de la plateforme de gestion des licences. Compte tenu du niveau de privilèges visé, Cisco recommande une mise à jour immédiate des versions concernées.

La seconde vulnérabilité, CVE-2026-20160, concerne Cisco SSM On-Prem et résulte de l'exposition involontaire d'un service interne. Un attaquant peut envoyer des requêtes spécialement forgées à l'API du service exposé pour exécuter des commandes sur le système d'exploitation sous-jacent avec des privilèges root. Selon Cisco et les analystes de sécurité, ces deux failles ne sont pas encore exploitées activement dans la nature, mais l'historique récent montre que les vulnérabilités Cisco critiques sont rapidement ciblées par les groupes d'attaquants après leur divulgation. L'agence de cybersécurité de Singapour (CSA) a également émis un bulletin d'alerte critique à ce sujet.

Impact et exposition

CVE-2026-20093 affecte les serveurs Cisco UCS série 5000 ENCS et les serveurs rack UCS série C M5 et M6 en mode autonome. La compromission d'un contrôleur IMC donne un accès complet à la gestion matérielle du serveur : redémarrage, modification du BIOS, montage d'images ISO, et contrôle total de l'infrastructure sous-jacente. CVE-2026-20160 touche les déploiements Cisco SSM On-Prem utilisés pour gérer les licences logicielles Cisco en environnement déconnecté. L'exécution de commandes root sur ce serveur permet à un attaquant de pivoter vers d'autres systèmes du réseau ou de manipuler les licences de l'infrastructure Cisco. Les organisations utilisant ces produits dans des réseaux accessibles depuis Internet ou des segments réseau peu segmentés sont particulièrement exposées. Le score CVSS de 9.8 reflète la facilité d'exploitation et l'absence de conditions préalables complexes.

Recommandations immédiates

• Mettre à jour Cisco IMC vers les versions corrigées : 4.15.5 (ENCS 5000), 4.3(2.260007), 4.3(6.260017) ou 6.0(1.250174) selon le modèle — Cisco Security Advisory cisco-sa-imc-auth-bypass-2026
• Mettre à jour Cisco SSM On-Prem vers la version 9-202601 — Cisco Security Advisory cisco-sa-ssm-rce-2026
• Restreindre l'accès réseau aux interfaces de gestion IMC et SSM On-Prem aux seules adresses IP autorisées
• Auditer les journaux d'accès des interfaces IMC et SSM pour détecter toute tentative de requête anormale
• Segmenter les réseaux de gestion (out-of-band management) pour limiter la surface d'attaque en cas de compromission

Détails techniques du vecteur d'attaque

Pour CVE-2026-20093, la faille réside dans l'endpoint de gestion des mots de passe de l'interface web Cisco IMC (Redfish/XML API). L'absence de vérification du jeton de session lors du traitement d'une requête PATCH sur l'objet utilisateur permet à un attaquant de forger une requête HTTP directement adressée à l'interface de management (généralement exposée sur le port 443 dédié à l'IMC), sans authentification préalable. Cisco précise que l'exploitation ne laisse pas de trace évidente dans les journaux d'authentification standards, ce qui complique la détection a posteriori.

CVE-2026-20160 exploite un service de diagnostic interne à SSM On-Prem, normalement destiné à un usage local, mais accessible depuis le réseau du fait d'une erreur de configuration du binding réseau dans les versions vulnérables. L'attaquant envoie une requête forgée à l'API REST de ce service pour injecter des commandes système exécutées avec les privilèges du compte de service, qui tourne en root sur la majorité des installations Linux sous-jacentes.

Versions concernées et correctifs

• Cisco IMC : versions antérieures à 4.3.6.240066, 4.15.5 et 6.0.2 — correctif disponible sur Cisco Software Central
• Cisco SSM On-Prem : versions antérieures à 9-202601 — mise à jour cumulative recommandée en priorité absolue
• Aucun contournement (workaround) officiel n'existe pour ces deux failles : seul le correctif logiciel neutralise la vulnérabilité

Détection et mitigation en attendant le patch

Le Cisco Software Checker permet de scanner rapidement un parc d'équipements pour identifier les versions vulnérables à partir d'un export d'inventaire. À défaut de patch immédiat, il est recommandé de restreindre l'accès réseau aux interfaces IMC et SSM On-Prem via des listes de contrôle d'accès (ACL) limitant les connexions aux seules adresses IP d'administration légitimes, et de désactiver l'exposition de ces interfaces sur Internet — une pratique déjà proscrite par les recommandations Cisco mais encore fréquemment observée en audit. La surveillance des journaux syslog du contrôleur IMC pour détecter des requêtes PATCH anormales sur les comptes administrateurs constitue une mesure de détection complémentaire en environnement segmenté.