Cisco SD-WAN CVE-2026-20245 : 7e zero-day exploite en 2026, toujours pas de patch — l'hemorragie continue

— CVE-2026-20245 : une injection de commandes dans le CLI du SD-WAN Manager

Le 5 juin 2026, Cisco PSIRT a publie un bulletin de securite revelant CVE-2026-20245, une vulnerabilite de type command injection dans l'interface en ligne de commandes (CLI) du Cisco Catalyst SD-WAN Manager. Cette faille, decouverte et rapportee par Mandiant, permet a un attaquant disposant de privileges netadmin d'executer des commandes arbitraires avec les privileges root sur le systeme sous-jacent.

Le mecanisme d'exploitation repose sur l'upload d'un fichier specialement concu via l'interface CLI du SD-WAN Manager. Le processus de traitement de ce fichier ne valide pas correctement les donnees d'entree, ce qui permet l'injection de commandes systeme dans le contexte d'execution du service. Le fichier malveillant est parse par un composant interne qui interprete certaines sequences de caracteres comme des commandes shell, offrant ainsi une execution de code arbitraire en tant que root.

Bien que le score CVSS de 7.8 soit inferieur au 10.0 de CVE-2026-20182 (couverte dans notre article precedent), cette vulnerabilite est neanmoins extremement dangereuse pour plusieurs raisons. Premierement, les comptes netadmin sont omnipresents dans les organisations utilisant SD-WAN — ce ne sont pas des comptes superadmin mais des comptes operationnels standard. Deuxiemement, l'absence totale de correctif ou de workaround signifie que les entreprises sont completement exposees sans recours. Troisiemement, elle affecte absolument tous les modes de deploiement existants.

Decomposition du vecteur CVSS

— Tous les deployments affectes : on-prem, cloud, FedRAMP

L'un des aspects les plus preoccupants de CVE-2026-20245 est son perimetre d'impact. Contrairement a certaines vulnerabilites qui n'affectent que des configurations specifiques, celle-ci touche l'integralite des modes de deploiement du Cisco Catalyst SD-WAN Manager :

Cette universalite de l'impact signifie qu'aucune migration de mode de deploiement ne constitue une solution. Que votre SD-WAN Manager soit heberge dans votre datacenter a La Defense, dans une instance AWS a Francfort, ou dans le cloud gere par Cisco, vous etes expose de la meme maniere. Cisco n'a pas precise de versions specifiques affectees, ce qui laisse entendre que toutes les versions actuellement supportees sont concernees.

Pour les entreprises francaises soumises a la reglementation europeenne sur les donnees (RGPD), la possibilite qu'un attaquant obtienne un acces root sur le SD-WAN Manager pose un probleme de conformite supplementaire. L'acces root permet potentiellement d'acceder aux logs de trafic, aux configurations contenant des informations reseau sensibles, et dans certains cas aux flux de donnees transitant par l'infrastructure SD-WAN. Un tel acces pourrait constituer une violation de donnees notifiable aupres de la CNIL.

— Mandiant a l'origine de la decouverte : que savons-nous de l'exploitation ?

La vulnerabilite a ete rapportee a Cisco par les equipes de Mandiant (filiale de Google Cloud), ce qui indique que la decouverte a probablement ete faite dans le cadre d'une investigation de reponse a incident. Mandiant ne publie generalement pas de bulletins de vulnerabilites isoles — leurs decouvertes proviennent typiquement de l'analyse forensique d'intrusions reelles chez des clients. Cette origine renforce la credibilite de l'exploitation active.

Selon les informations disponibles aupres de sources specialisees (TheHackerNews, HelpNetSecurity, SecurityWeek, SOCPrime), l'exploitation a ete observee dans des cas limites mais confirmes. L'aspect le plus inquietant est que dans certains cas, l'exploitation a abouti a des modifications de configuration poussees vers les edge devices. Cela signifie que l'attaquant ne s'est pas contente d'obtenir un acces root sur le Manager — il a utilise cet acces pour propager des changements de configuration vers les routeurs de bordure deployes dans les succursales de l'entreprise victime.

Ce comportement est coherent avec les tactiques observees lors de l'exploitation de CVE-2026-20182 en mai. L'objectif final est toujours le meme : prendre le controle du plan de donnees en passant par le plan de gestion. La difference est que CVE-2026-20245 necessite un acces initial plus eleve (netadmin vs. non-authentifie), mais le resultat — l'execution root — ouvre les memes portes vers la compromission de l'ensemble de la fabric SD-WAN.

CVE-2026-20245 vs. CVE-2026-20182 : deux failles, une meme surface d'attaque

— 7 zero-days en 6 mois : Cisco SD-WAN, un probleme systemique

CVE-2026-20245 n'est pas un incident isole. C'est la septieme vulnerabilite Cisco SD-WAN activement exploitee depuis janvier 2026. Ce rythme — plus d'un zero-day par mois — depasse largement ce qui peut etre considere comme des incidents ponctuels. Nous sommes face a un probleme structurel dans la base de code de l'ecosysteme Cisco SD-WAN.

Cette serie de vulnerabilites touche differents composants de l'ecosysteme SD-WAN — le Controller, le Manager, le parseur de politiques, le service vdaemon, l'API REST, le CLI — ce qui suggere que le probleme ne se limite pas a un module isole mais reflette des pratiques de developpement securise insuffisantes dans l'ensemble du produit. La diversite des types de vulnerabilites (injection de commandes, deserialization, buffer overflow, authentication bypass, SSRF) confirme cette hypothese.

Pour les RSSI francais, cette situation impose une reflexion strategique. Maintenir Cisco SD-WAN en production exige desormais un investissement considerable en surveillance et en reponse rapide. Chaque mois apporte une nouvelle faille critique, et le temps entre la disclosure et l'exploitation active se reduit. Les equipes de securite doivent traiter le SD-WAN comme un composant a haute criticite necessitant une surveillance 24/7 dediee, au meme titre qu'un Active Directory ou un cluster Kubernetes expose.

— Mesures d'urgence : que faire quand il n'y a pas de patch ?

La situation est inedite pour beaucoup d'equipes de securite : une vulnerabilite activement exploitee, confirmee par le constructeur, sans aucun correctif ni workaround officiel. Cette configuration force les entreprises a implementer des controles compensatoires qui, bien que ne corrigeant pas la faille, reduisent significativement le risque d'exploitation.

Indicateurs de compromission specifiques a CVE-2026-20245

Les equipes SOC doivent rechercher les indicateurs suivants sur leurs infrastructures SD-WAN Manager :

— L'impact reel : quand les edge devices sont compromis via le Manager

L'aspect le plus critique de cette vulnerabilite reside dans les cas ou l'exploitation a resulte en des modifications de configuration poussees vers les edge devices. Ce scenario transforme une compromission localisee (le Manager) en une compromission de l'ensemble de l'infrastructure reseau de l'entreprise.

Lorsqu'un attaquant obtient un acces root sur le SD-WAN Manager, il peut manipuler les templates de configuration et les politiques qui sont ensuite deployes automatiquement sur les routeurs de bordure. Ces modifications peuvent inclure l'ajout de routes de redirection du trafic, l'insertion de regles de mirrorring pour copier des flux vers un serveur de command and control, la desactivation selective de controles de securite, ou la creation de tunnels VPN non autorises vers l'infrastructure de l'attaquant.

Ce qui rend cette situation particulierement pernicieuse, c'est que ces modifications passent par le processus normal de deployment de configuration du SD-WAN. Elles apparaissent comme des changements legitimes pousses par le Manager, rendant leur detection extremement difficile sans une comparaison rigoureuse avec les configurations de reference. Les IDS/IPS traditionnels ne detecteront pas ces changements car ils proviennent d'une source autorisee.

Pour les entreprises multi-sites — et c'est precisement le cas d'usage du SD-WAN — une telle compromission peut affecter simultanement des dizaines voire des centaines de sites distants. Un groupe bancaire avec 200 agences, une chaine de distribution avec 500 points de vente, un industriel avec 50 usines : tous ces scenarios representent une surface d'impact massive lorsque le Manager central est compromis.

— Obligations NIS2 et position de l'ANSSI

Dans le contexte de la directive NIS2, transposee en droit francais et applicable aux entites essentielles et importantes, la gestion de CVE-2026-20245 souleve des questions de conformite specifiques. L'article 21 de la directive impose aux organisations de mettre en place des mesures proportionnees pour gerer les risques cyber, incluant la gestion des vulnerabilites et la securite de la chaine d'approvisionnement.

L'absence de correctif place les organisations dans une position delicate. Elles ne peuvent pas simplement « patcher » pour se conformer a l'obligation de remediation. Elles doivent demontrer qu'elles ont mis en place des controles compensatoires adequats et qu'elles suivent activement la situation aupres du fournisseur. La documentation de cette demarche est essentielle en cas d'audit NIS2.

L'ANSSI, via le CERT-FR, est susceptible d'emettre un avis specifique dans les jours a venir. Les organisations classees OIV (Operateurs d'Importance Vitale) doivent anticiper et ne pas attendre un bulletin officiel pour agir. La position de l'ANSSI est claire depuis son guide 2024 sur la securisation du SD-WAN : le plan de gestion doit etre isole, les acces doivent etre strictement controles, et un monitoring continu doit etre en place.

Pour les prestataires de services geres (MSP) et les operateurs cloud qui administrent des infrastructures SD-WAN Cisco pour le compte de clients, la responsabilite est double. Ils doivent non seulement proteger leurs propres acces mais aussi garantir a leurs clients que des mesures de mitigation sont en place. Un contrat de service qui ne prevoit pas de processus de gestion des zero-days non patches expose le prestataire a un risque juridique significatif.

— Conclusion : l'urgence d'une strategie de resilience SD-WAN

CVE-2026-20245 marque un tournant dans la saga des vulnerabilites Cisco SD-WAN en 2026. Non pas par sa severite — un CVSS 7.8 est « modere » compare aux scores de 9.8 et 10.0 des mois precedents — mais par l'absence totale de remede. Pour la premiere fois cette annee, Cisco annonce une exploitation active d'une faille dans son SD-WAN sans offrir ni patch, ni workaround, ni timeline de correction.

Cette situation force les entreprises a repenser fondamentalement leur relation avec leur infrastructure SD-WAN. A court terme, les mesures compensatoires (restriction des comptes netadmin, MFA, segmentation du plan de gestion, monitoring renforce) sont indispensables. A moyen terme, une evaluation formelle du risque residuel lie a Cisco SD-WAN doit etre conduite et presentee au comite de direction.

Les alternatives ne manquent pas (Fortinet SD-WAN, VMware VeloCloud, Versa Networks, Palo Alto Prisma SD-WAN), mais une migration est un projet de 6 a 18 mois qui ne peut pas etre improvise sous la pression d'un zero-day. Ce qu'il faut faire maintenant, c'est construire la resilience : accepter que les zero-days vont continuer, preparer les processus de reponse, et s'assurer que la compromission du Manager ne se traduise pas automatiquement par la compromission de toute la fabric.

Pour aller plus loin, consultez notre analyse de CVE-2026-20182 (CVSS 10.0) du mois dernier et notre guide pour auditer votre perimetre SAML/SSO Cisco.