CVE-2026-20127 : zero-day Cisco SD-WAN CVSS 10.0, le malware KeyDrift frappe défense et spatial

Les faits

Le 29 octobre 2026, Cisco a publié en urgence un avis de sécurité concernant CVE-2026-20127, une faille de score CVSS 10.0 affectant son composant de gestion SD-WAN, Cisco vManage. La vulnérabilité permet à un attaquant distant non authentifié d'obtenir des droits administratifs complets sur les contrôleurs réseau sans fournir le moindre mot de passe. L'exploitation s'effectue via l'API REST exposée sur le port 443 de vManage, sans aucun prérequis d'accès réseau particulier si l'interface est accessible depuis Internet ou un réseau WAN non segmenté.

Ce qui rend cette faille particulièrement sévère, c'est le caractère stratégique des cibles atteintes. Selon les données de télémétrie publiées par le TALOS Intelligence Group de Cisco le même jour, un acteur menaçant d'origine étatique — présentant selon plusieurs sources indépendantes les marqueurs techniques d'un groupe lié à la Corée du Nord — a exploité CVE-2026-20127 pour déployer un framework malveillant inédit baptisé KeyDrift. Ce malware aspire les clés de chiffrement stockées dans la mémoire de vManage, notamment les clés IPsec servant à chiffrer les tunnels entre les équipements SD-WAN déployés.

Les organisations touchées identifiées à ce stade par Cisco TALOS comprennent des entreprises du secteur spatial et satellite, des sous-traitants de la défense et de l'aérospatial, ainsi que des think tanks spécialisés en politique de sécurité nationale. Les premières intrusions ont été détectées dans des logs forensiques remontant au 22 octobre 2026, soit sept jours avant la divulgation publique. La fenêtre d'exploitation zero-day a donc duré au moins une semaine avant que Cisco ne soit en mesure de publier un correctif.

Techniquement, CVE-2026-20127 exploite une insuffisance de validation dans le mécanisme de session de l'API REST de vManage. Lorsqu'une requête HTTP est envoyée avec un paramètre d'authentification malformé spécifique, le gestionnaire de session génère un token administrateur valide sans vérification des credentials. Ce comportement est reproductible de manière fiable selon l'avis CISCO-SA-SD-WAN-20127, ce qui laisse présager la disponibilité imminente d'un PoC public sur les forums spécialisés.

KeyDrift, le malware déployé post-exploitation, opère en mode mémoire uniquement — sans persistance disque traditionnelle — ce qui complique considérablement la détection par les solutions antivirus classiques. Il établit un canal de commande et contrôle chiffré via HTTPS vers une infrastructure distribuée sur plusieurs fournisseurs cloud, et peut exfiltrer les configurations complètes des overlay SD-WAN : topologie de réseau, adressage IP des équipements, politiques de routage et surtout les clés de chiffrement IPsec actives utilisées pour sécuriser les communications inter-sites.

La conséquence directe d'une compromission de ces clés est dramatique : un attaquant possédant les clés IPsec peut déchiffrer rétroactivement tout le trafic capturé sur les liens SD-WAN, y compris des communications antérieures à la compromission. Dans un contexte de défense ou de protection de propriété intellectuelle industrielle, cette capacité représente une menace de renseignement de premier ordre.

Cisco a confirmé que CVE-2026-20127 affecte vManage dans les branches 20.x antérieures aux builds correctifs 20.15.1, 20.12.6 et 20.9.8. La version 21.x n'est pas impactée. Les déploiements en mode cloud managé par Cisco ont été patchés automatiquement. Les déploiements on-premises restent sous la responsabilité des équipes IT des organisations concernées.

La CISA américaine a émis une alerte d'urgence dans la nuit du 29 au 30 octobre 2026, exigeant que les agences fédérales appliquent les correctifs avant le 5 novembre 2026. Aucune alerte équivalente du CERT-FR n'était publiée à l'heure de rédaction de cet article, mais la faille concerne directement des infrastructures WAN critiques présentes en France dans des secteurs industriels, des opérateurs de services essentiels et des acteurs de la défense nationale.

Impact et exposition

Cisco vManage est le plan de gestion centralisé des déploiements SD-WAN Cisco, utilisé dans les grandes entreprises, les opérateurs télécom et les entités gouvernementales. Toute organisation ayant exposé son interface vManage sur un réseau accessible est potentiellement compromise. Les secteurs les plus exposés : défense et industrie de haute technologie, opérateurs de communications, grandes entreprises multi-sites utilisant Cisco SD-WAN, prestataires MSP gérant des SD-WAN clients. L'exploitation ne requiert aucun accès physique préalable.

Recommandations

• Appliquer immédiatement les versions correctives : vManage 20.15.1, 20.12.6, ou 20.9.8 selon votre branche de déploiement
• Isoler l'interface vManage derrière un VPN ou une liste blanche IP stricte — l'accès depuis Internet public doit être interdit
• Analyser les logs vManage depuis le 22 octobre 2026 pour détecter des requêtes API anormales avec tokens générés sans session valide
• Si compromission suspectée : rotation complète de toutes les clés IPsec, révocation et renouvellement des certificats gérés par vManage
• Activer la surveillance des connexions sortantes HTTPS inhabituelles depuis vManage vers des IP non répertoriées