CVE-2026-20274 & CVE-2026-20279 : Cisco IOS XR double CVSS 9.8 — RCE et bypass sans auth

Les faits

Cisco a publié le 2 septembre 2026 un ensemble de correctifs regroupés dans une release spéciale baptisée « IOS XR Security Hardening Release », couvrant plusieurs vulnérabilités critiques découvertes en interne lors d'audits approfondis de la codebase IOS XR. Parmi ces correctifs, deux vulnérabilités se distinguent par leur score CVSS 3.1 de 9.8 (Critique) : CVE-2026-20274 et CVE-2026-20279. Ces deux CVE touchent le système d'exploitation des routeurs backbone IOS XR — une cible de premier rang pour les acteurs menaçants cherchant à compromettre les infrastructures réseau cœur d'opérateurs télécom et d'entreprises multinationales.

CVE-2026-20274 est classée CWE-664 (Improper Control of a Resource Through Its Lifetime). La vulnérabilité englobe un ensemble de problèmes liés à la gestion des buffers dans IOS XR : erreurs de gestion mémoire, possibilités d'écritures hors limites (out-of-bounds write), et initialisation de ressources avec des valeurs par défaut non sécurisées. Le vecteur CVSS est réseau (AV:N), la complexité d'exploitation est faible (AC:L), aucune authentification n'est requise (PR:N), et aucune interaction utilisateur n'est nécessaire (UI:N). Un attaquant distant peut envoyer des paquets spécialement forgés à une interface IOS XR exposée pour déclencher soit l'exécution de code arbitraire sur l'équipement, soit un déni de service complet (crash du processus, rechargement du routeur).

CVE-2026-20279 est classée CWE-284 (Improper Access Control). Elle identifie un ensemble de défauts de contrôle d'accès dans IOS XR permettant à un utilisateur authentifié avec de faibles privilèges — ou à un service compromis tournant sous un compte à droits limités — de contourner les mécanismes normaux de restriction. Les conséquences potentielles incluent une escalade de privilèges ou la modification de configurations système critiques (routing tables, BGP policies, MPLS configurations) sans les autorisations appropriées. Le vecteur d'attaque est réseau (AV:N), avec une complexité faible et sans nécessiter d'interaction supplémentaire une fois l'accès initial obtenu.

Cisco précise dans son advisory qu'elle a découvert ces vulnérabilités de manière proactive lors d'un audit interne de la codebase IOS XR, sans évidence d'exploitation in-the-wild au moment de la publication. Cependant, les chercheurs de The Register ont noté que la quantité de vulnérabilités découvertes lors de cet audit était suffisamment importante pour justifier une release dédiée — un signal préoccupant sur la surface d'attaque historique d'IOS XR. Cisco a qualifié la démarche de « hardening proactif » et a « fortement recommandé » à tous les clients d'adopter les nouvelles versions immédiatement.

IOS XR est le système d'exploitation déployé sur les routeurs haut de gamme de Cisco : la série ASR 9000 (opérateurs télécom), la série NCS (Network Convergence System), la série CRS (Carrier Routing System), la nouvelle série Cisco 8000, et les routeurs virtuels XRv9000. Ces équipements constituent l'épine dorsale de nombreux réseaux d'opérateurs Internet Tier-1, d'entreprises multinationales et d'infrastructures gouvernementales. Une vulnérabilité RCE non-authentifiée sur ces équipements permet théoriquement à un attaquant de prendre le contrôle de nœuds de routage critiques, d'intercepter ou modifier du trafic BGP, ou de déstabiliser des segments entiers d'Internet.

Historiquement, les vulnérabilités critiques dans IOS XR ont attiré l'attention de groupes APT. En 2020, des acteurs liés à la Russie et à la Chine avaient ciblé des équipements Cisco IOS dans des campagnes d'espionnage documentées par la NSA et le GCHQ. CVE-2026-20274 présente un profil similaire aux vecteurs exploités dans ces campagnes historiques. Le vecteur réseau sans authentification est particulièrement attractif pour les acteurs cherchant un accès persistent sur des équipements réseau à longue durée de vie, souvent négligés dans les cycles de patching des équipes réseau.

Le chaînage CVE-2026-20274 (accès initial non-authentifié, RCE) suivi de CVE-2026-20279 (escalade de privilèges post-accès initial) constitue une kill chain complète permettant la compromission totale d'un routeur IOS XR depuis Internet. Ce scénario est particulièrement préoccupant pour les équipements dont le plan de gestion (management plane) est accessible depuis des réseaux non entièrement maîtrisés ou exposés via des connexions BGP avec des partenaires externes.

La version IOS XR corrigée est disponible via le Cisco Software Center pour les clients disposant d'un contrat de maintenance actif. Les versions de correction ont été intégrées dans plusieurs trains de release IOS XR, nécessitant que les administrateurs vérifient la matrice de compatibilité dans l'advisory Cisco. IOS XR dispose d'une architecture modulaire permettant, dans certains cas, des mises à jour en service (ISSU - In-Service Software Upgrade) sans interruption de trafic, réduisant l'impact opérationnel du patching. Aucun PoC public n'était disponible au moment de la publication, mais étant donné la criticité des deux vulnérabilités avec vecteur réseau sans authentification, la fenêtre avant qu'un exploit soit développé et partagé dans la communauté offensive est probablement courte.

Impact et exposition

L'exposition principale concerne les opérateurs télécom, fournisseurs d'accès Internet (ISP), et grandes entreprises dont l'infrastructure backbone repose sur des routeurs Cisco IOS XR. Pour CVE-2026-20274, tout interface de management ou de données exposé sur Internet (ou sur un réseau non-filtré) représente un vecteur d'attaque direct. Les routeurs IOS XR sont fréquemment connectés à des sessions BGP avec des partenaires externes, des IXP (Internet Exchange Points), et des transit providers — autant de points d'entrée potentiels si les ACL de protection des plans de contrôle (CoPP - Control Plane Policing) ne sont pas correctement configurées.

CVE-2026-20279 cible un scénario post-accès initial : un attaquant ayant obtenu un accès limité à l'équipement (via phishing d'un administrateur, exploitation d'une autre vulnérabilité, ou insider threat) peut immédiatement escalader vers des opérations critiques normalement réservées aux administrateurs seniors. La combinaison avec CVE-2026-20274 crée une kill chain complète depuis Internet jusqu'à la compromission totale de l'équipement.

Dans le contexte français, les opérateurs télécom nationaux (Orange, SFR, Bouygues Telecom) et les grandes entreprises utilisant des routeurs Cisco backbone sont directement concernés. Les prestataires de services managés (MSP) gérant des infrastructures réseau pour le compte de clients doivent également vérifier leurs parcs d'équipements IOS XR.

Recommandations immédiates

• Appliquer les mises à jour IOS XR via le Cisco Security Advisory CISCO-SA-IOSXR-HARDENING-2026 — vérifier la matrice de versions corrigées par modèle d'équipement via le portail Cisco
• En attendant le patch : activer ou renforcer les politiques CoPP (Control Plane Policing) pour limiter les taux de paquets entrants vers le plan de contrôle IOS XR
• Restreindre l'accès au plan de management via des ACL strictes (liste blanche d'IP de management uniquement) et désactiver les protocoles non nécessaires (Telnet, HTTP non-SSL, SNMP v1/v2c)
• Auditer les comptes utilisateurs IOS XR et leurs niveaux de privilèges pour réduire la surface d'attaque de CVE-2026-20279
• Activer la journalisation des commandes EEM (Embedded Event Manager) et le syslog vers un SIEM pour détecter les comportements anormaux post-exploitation