Une faille notée 10 sur 10 dans la console qui pilote les pare-feu Cisco est exploitée par trois groupes d’attaquants aux objectifs très différents : vol de mots de passe, espionnage et rançongiciel. Une leçon simple pour toutes les entreprises : un équipement de sécurité doit lui aussi être mis à jour et surveillé.
Ce qui s’est passé
Le 9 septembre 2026, Cisco Talos, l’équipe de recherche en sécurité de Cisco, a confirmé que des attaquants exploitaient deux failles du logiciel Cisco Secure Firewall Management Center (FMC). Ce logiciel sert à administrer, depuis un seul endroit, l’ensemble des pare-feu Cisco d’une organisation (Cisco Talos, 9 septembre 2026).
La première faille est la plus grave : elle permet à un attaquant qui n’a aucun compte de contourner l’authentification et de lancer des commandes avec les droits les plus élevés sur la machine (les droits « root », l’équivalent d’un super-administrateur). La seconde repose sur des identifiants fixes, intégrés au logiciel, qui donnent un accès limité à l’interface.
Ces failles n’étaient pas nouvelles. Selon BleepingComputer, Cisco avait rendu publique la faille principale dès mars 2026, puis publié fin juillet des correctifs pour les deux failles. Des traces d’exploitation datées du 23 juillet laissent penser que les attaques ont commencé avant l’alerte de septembre (BleepingComputer, 9 septembre 2026).
Les victimes ne sont pas nommées publiquement.
Comment l’attaque a fonctionné
Ce qui rend ce cas instructif, c’est que Talos a observé trois groupes distincts passer par la même porte d’entrée, chacun avec son propre objectif.
- Premier groupe : le vol d’identifiants. Après être entré par la faille principale, l’attaquant a installé un petit programme caché sur le serveur web de la console, qui lui permettait de lancer des commandes à distance. Il s’en est servi pour lire la base interne du boîtier et récupérer les identifiants des administrateurs.
- Deuxième groupe : l’espionnage. Talos relie ce groupe à Sandworm, un acteur attribué à la Russie. Il a remplacé un fichier légitime du boîtier par une version piégée, exécutée automatiquement avec les droits maximum. Il a ensuite copié les configurations des pare-feu gérés, puis installé un logiciel espion capable de rester en place, de voler des mots de passe et d’observer le trafic réseau.
- Troisième groupe : le rançongiciel. Entré grâce aux identifiants fixes, il a d’abord cartographié tout le réseau de la victime : comptes de service, contrôleurs de domaine (les serveurs qui gèrent les comptes et les droits des utilisateurs), serveurs de fichiers, bases de données. Il a ouvert des tunnels discrets vers sa propre infrastructure, désactivé l’antivirus, puis déployé le rançongiciel Qilin, qui chiffre les fichiers et les rend inutilisables.
Le point commun : la console de gestion des pare-feu offre une position idéale pour rebondir vers tout le reste du système d’information. La prendre, c’est souvent prendre le réseau.
Ce qu’on ne sait pas encore
Talos ne précise ni le nombre de victimes, ni leurs secteurs, ni la façon dont elles ont repéré l’intrusion. On ne sait donc pas combien de temps les attaquants sont restés en place avant d’être découverts.
Ce que ça change pour une PME
Même si vous n’utilisez pas ce produit Cisco, la leçon vaut pour tous les pare-feu, VPN (accès à distance au réseau de l’entreprise) et consoles d’administration.
- Faites l’inventaire de vos équipements de sécurité (pare-feu, VPN, consoles de gestion) avec leur version, et demandez à votre prestataire informatique de vérifier chaque mois qu’aucune faille critique connue n’est en attente de correctif.
- Fixez un délai court pour les correctifs critiques sur ces équipements, par exemple quelques jours, et écrivez-le dans le contrat avec votre prestataire. Ici, les correctifs existaient depuis plusieurs semaines quand l’alerte a été donnée.
- Ne laissez pas les interfaces d’administration accessibles depuis Internet. Cela ne corrige pas la faille, mais réduit fortement le nombre d’attaquants capables de l’atteindre.
- Après un correctif urgent, cherchez aussi des traces d’intrusion. Cisco le rappelle lui-même : installer la mise à jour ferme la porte, mais ne fait pas sortir un attaquant déjà entré. Demandez une vérification des comptes, des fichiers et des connexions sortantes du boîtier.
Dossier : Équipements exposés et correctifs
Cet article prolonge notre bulletin de veille du 21 septembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.