7 Min. de lecture<\/p>\n
\u00c9tat au : 22.04.2026<\/span><\/p>\n Le 20 avril 2026, la CISA a ajout\u00e9 trois vuln\u00e9rabilit\u00e9s du Cisco Catalyst SD-WAN Manager \u00e0 sa liste des vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (Known Exploited Vulnerabilities) et a accord\u00e9 aux agences f\u00e9d\u00e9rales am\u00e9ricaines un d\u00e9lai de 72 heures jusqu’au 23 avril. Les trois CVE concernent le m\u00eame plan de gestion, s’encha\u00eenent comme une cha\u00eene d’attaque et sont activement exploit\u00e9es depuis d\u00e9but mars, selon Cisco. Pour les entreprises DACH ayant d\u00e9ploy\u00e9 le SD-WAN, il s’agit d’une situation critique n\u00e9cessitant une action imm\u00e9diate cette semaine.<\/strong><\/p>\n En relation<\/span>Alertes BSI concernant F5, Citrix et Trivy en avril<\/a> \/<\/span> Apache ActiveMQ sous le feu des attaques<\/a><\/p>\n Qu\u2019est-ce que le Cisco Catalyst SD-WAN Manager ?<\/strong> Le Catalyst SD-WAN Manager (anciennement vManage) est la plateforme centrale de gestion et d\u2019orchestration dans les d\u00e9ploiements Cisco SD-WAN. Il g\u00e8re les politiques, les templates, les images logicielles et les configurations de routage pour tous les routeurs Edge. Celui qui contr\u00f4le le Manager contr\u00f4le, en pratique, l\u2019int\u00e9gralit\u00e9 de la fabric SD-WAN d\u2019une organisation, y compris le routage du trafic, la distribution des certificats et les contr\u00f4les d\u2019acc\u00e8s. Un Manager compromis n\u2019est donc pas une simple d\u00e9faillance isol\u00e9e, mais un levier pour un mouvement lat\u00e9ral \u00e0 travers l\u2019ensemble du r\u00e9seau d\u2019entreprise.<\/p>\n Les trois CVE sont individuellement probl\u00e9matiques, mais ensemble, elles constituent un sc\u00e9nario de compromission totale. CVE-2026-20133 permet \u00e0 des attaquants non authentifi\u00e9s d\u2019extraire des informations sensibles via une API expos\u00e9e. Cela suffit pour la reconnaissance : quels utilisateurs vmanage existent, quelle version est ex\u00e9cut\u00e9e, quels routeurs Edge sont connect\u00e9s. CVE-2026-20122 permet le t\u00e9l\u00e9chargement de fichiers via une API privil\u00e9gi\u00e9e mal s\u00e9curis\u00e9e et conduit \u00e0 des droits utilisateur vmanage. CVE-2026-20128 stocke les mots de passe dans un format r\u00e9cup\u00e9rable sur le syst\u00e8me de fichiers, permettant \u00e0 un attaquant local authentifi\u00e9 d\u2019escalader ses privil\u00e8ges jusqu\u2019au niveau utilisateur DCA. En combinaison : reconnaissance sans authentification, puis t\u00e9l\u00e9chargement de fichiers pour obtenir des droits initiaux, puis escalade de privil\u00e8ges jusqu\u2019\u00e0 l\u2019administration compl\u00e8te.<\/p>\n Le point crucial r\u00e9side dans la chronologie. Cisco a publi\u00e9 les correctifs fin f\u00e9vrier, et deux des trois CVE ont \u00e9t\u00e9 confirm\u00e9es comme activement exploit\u00e9es d\u00e9but mars. Aujourd\u2019hui, CVE-2026-20133 figure sur la liste KEV avec une date limite f\u00e9d\u00e9rale fix\u00e9e au 23 avril. Ceux qui n\u2019ont pas appliqu\u00e9 les correctifs de f\u00e9vrier sont rest\u00e9s une cible ouverte pendant trois mois et doivent partir du principe que leurs syst\u00e8mes ont \u00e9t\u00e9 examin\u00e9s, voire compromis.<\/p>\n Un incident classique sur un serveur affecte une application. Une station de travail endpoint compromise impacte un compte utilisateur et les syst\u00e8mes accessibles via celui-ci. Une instance de SD-WAN Manager compromise, en revanche, touche l\u2019int\u00e9gralit\u00e9 de la fabric overlay d\u2019une organisation. C\u2019est qualitativement un probl\u00e8me d\u2019une tout autre ampleur. Le Manager d\u00e9finit les politiques qui d\u00e9terminent quel trafic est achemin\u00e9 vers quelle destination. Il g\u00e8re la rotation des certificats \u00e9chang\u00e9s entre les routeurs Edge et le plan de contr\u00f4le. Il pousse les images logicielles sur les routeurs et peut ainsi distribuer des binaires qui seront activ\u00e9s lors de la prochaine maintenance.<\/p>\n Trois sc\u00e9narios d\u2019attaque en d\u00e9coulent, que ne peut couvrir un simple incident endpoint. Premi\u00e8rement : la redirection silencieuse des flux de donn\u00e9es. Des attaquants disposant de droits admin vmanage peuvent modifier les politiques de routage pour faire transiter un trafic sp\u00e9cifique par un point d\u2019observation, sans que les utilisateurs finaux ne s\u2019en aper\u00e7oivent. Deuxi\u00e8mement : le vol ou la rotation des certificats. Celui qui contr\u00f4le les certificats de la fabric peut autoriser des routeurs Edge \u00e0 se connecter \u00e0 de faux endpoints du plan de contr\u00f4le ou d\u00e9chiffrer des connexions o\u00f9 l\u2019overlay SD-WAN constituait la fronti\u00e8re de confiance. Troisi\u00e8mement : le mouvement lat\u00e9ral avec des droits de gestion. Le Manager dispose g\u00e9n\u00e9ralement de chemins d\u2019acc\u00e8s vers des zones OT, data center ou cloud plus profondes, d\u00e9j\u00e0 consid\u00e9r\u00e9es comme fiables du point de vue du p\u00e9rim\u00e8tre.<\/p>\n En pratique, cela signifie que ceux qui n\u00e9gligent l\u2019analyse des logs apr\u00e8s l\u2019application du correctif risquent de passer \u00e0 c\u00f4t\u00e9 des m\u00e9canismes de persistance qu\u2019un attaquant a pu mettre en place avant la mise \u00e0 jour. Un nouvel utilisateur vmanage au nom discret, un bloc de template modifi\u00e9 ou un certificat suppl\u00e9mentaire dans le trust store survivent \u00e0 la simple installation de la nouvelle version logicielle.<\/p>\n Pour prioriser les fen\u00eatres de correctifs en fonction de leur criticit\u00e9, il est essentiel d’avoir une vision claire de chaque vuln\u00e9rabilit\u00e9. Le tableau suivant r\u00e9sume les conditions d’attaque, la composante concern\u00e9e et l’impact, sans reproduire les avis de s\u00e9curit\u00e9 de Cisco. Les avis originaux restent la r\u00e9f\u00e9rence obligatoire pour la r\u00e9solution op\u00e9rationnelle.<\/p>\nL’essentiel en bref<\/h2>\n
\n
Pourquoi ces trois CVE doivent \u00eatre analys\u00e9es ensemble<\/h2>\n
Pourquoi la compromission d\u2019un SD-WAN Manager \u00e9largit le rayon d\u2019impact<\/h2>\n
Les trois CVE en d\u00e9tail<\/h2>\n