CVE-2026-20131 : Interlock exploite un zero-day Cisco FMC

La veille cybersécurité permanente s'impose désormais comme une nécessité opérationnelle pour les équipes de sécurité, et l'exploitation active de la CVE-2026-20131 Cisco FMC par le groupe Interlock en fournit une illustration saisissante. Ce zero-day affectant Cisco Firewall Management Center, plateforme d'administration centralisée des pare-feux Firepower, offre aux attaquants un point d'entrée privilégié vers l'infrastructure de filtrage réseau des organisations compromises. L'exploitation d'une console de gestion de sécurité inverse la logique défensive traditionnelle : l'outil censé protéger le périmètre devient le vecteur de sa compromission. Cet article détaille les mécanismes techniques de la vulnérabilité, les tactiques observées chez Interlock, les indicateurs de compromission à rechercher dans vos journaux, ainsi que les mesures de remédiation et de durcissement à déployer sans délai pour limiter votre exposition à cette menace.

Les faits

Amazon Threat Intelligence a révélé fin mars 2026 qu une campagne active du groupe Interlock exploite la vulnérabilité CVE-2026-20131, une faille de désérialisation Java non sécurisée dans Cisco Secure Firewall Management Center. Cette vulnérabilité, notée CVSS 10.0, permet à un attaquant distant non authentifié de contourner l authentification et d exécuter du code Java arbitraire avec les privilèges root. Selon BleepingComputer, l exploitation a débuté dès le 26 janvier 2026, soit plus d un mois avant la publication du correctif par Cisco le 4 mars.

La chaîne d attaque repose sur l envoi de requêtes HTTP spécialement conçues vers un endpoint spécifique du logiciel FMC. Une fois le système compromis, il émet une requête HTTP PUT vers un serveur externe pour confirmer l exploitation réussie, puis télécharge un binaire ELF servant de point d entrée pour les outils d Interlock. Le groupe, actif depuis septembre 2024, a revendiqué des attaques contre DaVita, Kettering Health, le Texas Tech University System et la ville de Saint Paul dans le Minnesota.

Impact et exposition

Toute organisation utilisant Cisco Secure Firewall Management Center en version non patchée est exposée. La criticité maximale (CVSS 10.0) s explique par l absence totale d authentification requise et l obtention de privilèges root. Les secteurs les plus visés par Interlock incluent la santé, l éducation et les collectivités locales. La CISA a ajouté CVE-2026-20131 à son catalogue KEV le 19 mars 2026 avec une échéance de remédiation fixée au 22 mars pour les agences fédérales américaines. Le fait que l exploitation ait précédé la divulgation publique d un mois aggrave considérablement le risque de compromission silencieuse.

Recommandations

• Appliquer immédiatement le correctif Cisco publié le 4 mars 2026 sur toutes les instances FMC.
• Rechercher des indicateurs de compromission : requêtes HTTP PUT sortantes suspectes, binaires ELF inconnus, connexions vers des C2 Interlock.
• Segmenter le réseau pour isoler les consoles de management FMC du trafic Internet direct.
• Auditer les logs réseau depuis le 26 janvier 2026 pour détecter une éventuelle exploitation antérieure au patch.