En bref

  • Cisco corrige CVE-2026-20160 (CVSS 9.8), une exposition de service interne dans Smart Software Manager On-Prem permettant l'exécution de commandes root
  • Cisco SSM On-Prem versions antérieures à 9-202601 sont vulnérables — un PoC est disponible publiquement
  • Mettre à jour vers SSM On-Prem 9-202601 immédiatement et auditer les accès au service

Les faits

Cisco a publié le 9 avril 2026 des correctifs de sécurité pour plusieurs vulnérabilités critiques affectant ses produits Integrated Management Controller et Smart Software Manager On-Prem. La plus sévère, CVE-2026-20160, obtient un score CVSS maximal de 9.8 et résulte de l'exposition accidentelle d'un service interne dans Cisco SSM On-Prem. Cette faille permet à un attaquant distant non authentifié d'envoyer des requêtes forgées à l'API du service exposé pour exécuter des commandes arbitraires sur le système d'exploitation sous-jacent avec des privilèges root. La vulnérabilité a été découverte en interne par les équipes Cisco lors du traitement d'un cas de support technique TAC (Technical Assistance Center), ce qui suggère que le problème a été identifié dans un contexte opérationnel réel avant d'être qualifié comme faille de sécurité. Un code d'exploitation proof-of-concept est déjà disponible publiquement, ce qui augmente considérablement le risque d'exploitation à court terme même si aucune attaque active n'a été confirmée à ce jour par Cisco.

Cisco Smart Software Manager On-Prem est utilisé par les organisations qui ne peuvent pas ou ne souhaitent pas utiliser le service cloud Cisco Smart Licensing. Il gère les licences logicielles de l'ensemble de l'infrastructure Cisco d'une organisation. Un accès root à ce composant donne potentiellement accès à des informations sensibles sur l'ensemble du parc Cisco déployé, y compris les configurations réseau et les clés de licence. Cette vulnérabilité s'inscrit dans une série de failles critiques touchant les outils d'administration d'infrastructure en 2026, confirmant que les plateformes de gestion centralisée restent des cibles privilégiées. Les entreprises qui utilisent SSM On-Prem doivent traiter cette mise à jour avec la même urgence que les récentes vulnérabilités RCE root sur les équipements Juniper.

Impact et exposition

Toutes les installations de Cisco SSM On-Prem antérieures à la version 9-202601 sont vulnérables. L'impact est maximal : exécution de code arbitraire avec les privilèges root, sans authentification requise. Le vecteur d'attaque est réseau, ce qui signifie que toute instance SSM On-Prem accessible depuis un segment réseau non sécurisé peut être compromise. En cas d'exploitation, l'attaquant obtient un contrôle total sur le serveur de gestion de licences, avec la possibilité de pivoter vers d'autres systèmes du réseau interne. La disponibilité publique d'un PoC rend l'exploitation accessible même à des attaquants peu sophistiqués. Les organisations les plus à risque sont celles qui exposent leur SSM On-Prem sur des segments réseau partagés ou accessibles depuis des zones moins sécurisées, une configuration malheureusement courante dans les environnements où la segmentation réseau est insuffisante.

Recommandations

  • Mettre à jour Cisco SSM On-Prem vers la version 9-202601 sans délai — le PoC public rend l'exploitation imminente
  • Vérifier que le service SSM On-Prem n'est pas exposé sur des interfaces réseau non nécessaires
  • Implémenter des règles de filtrage réseau pour restreindre l'accès à SSM On-Prem aux seuls administrateurs autorisés
  • Auditer les logs système du serveur SSM On-Prem pour détecter toute activité suspecte ou accès non autorisé
  • Planifier un audit de segmentation réseau pour isoler les composants de gestion d'infrastructure critiques

Alerte critique

Score CVSS 9.8 avec PoC public disponible. Même si aucune exploitation active n'est confirmée à ce stade, la combinaison d'un score maximal, d'un accès root sans authentification et d'un exploit public rend l'exploitation une question de jours, voire d'heures. La rapidité de réaction est déterminante.

Comment vérifier si mon Cisco SSM On-Prem est vulnérable à CVE-2026-20160 ?

Connectez-vous à l'interface d'administration de votre SSM On-Prem et vérifiez le numéro de version dans la section System Information. Toute version antérieure à 9-202601 est vulnérable. Si vous utilisez une version affectée, la mise à jour est disponible sur le portail de téléchargement Cisco Software Central. N'attendez pas votre prochaine fenêtre de maintenance.

Quels risques concrets si mon SSM On-Prem est compromis ?

Un attaquant avec un accès root au SSM On-Prem peut exfiltrer l'intégralité des informations de licence de votre parc Cisco, utiliser le serveur comme point de pivot pour attaquer d'autres systèmes du réseau interne, déployer des backdoors persistantes, et potentiellement perturber le fonctionnement de vos équipements Cisco en manipulant les licences. Le serveur SSM contient aussi des informations précieuses sur l'architecture réseau de l'organisation.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit