Qui garde le gardien ? Une faille notée 10,0 dans Cisco ISE ouvre votre réseau sans mot de passe

Le 16 septembre 2026, Cisco a publié un avis de sécurité concernant la CVE-2026-76460, qui touche Identity Services Engine et ISE Passive Identity Connector. Le score de base CVSS est de 10,0, le maximum que l'échelle attribue. La cause tient à des contrôles d'authentification insuffisants sur un point de terminaison d'API, et l'effet est qu'un attaquant distant non authentifié peut atteindre l'interface d'administration en envoyant une requête spécialement conçue. Cisco indique clairement que son PSIRT a connaissance d'une exploitation active, et qu'aucun contournement n'est disponible.

Le nom technique ne dit pas grand-chose à un chef d'entreprise. La signification opérationnelle, en revanche, dit tout : l'équipement touché n'est ni un serveur de fichiers ni une imprimante réseau. C'est l'appliance que le reste du réseau interroge sur l'identité de toute personne qui tente de se connecter. C'est elle qui décide que cet ordinateur portable appartient à un employé autorisé, que ce téléphone est celui d'un visiteur qui doit rester sur le réseau invité, et que ce fournisseur n'accède qu'à un seul système. Quand l'autorité qui prend cette décision tombe, vous ne perdez pas un service. Vous perdez le socle sur lequel reposent tous les services.

Ce que nous savons réellement

Ces faits proviennent de l'avis de Cisco lui-même et du catalogue Known Exploited Vulnerabilities de la CISA, et non d'articles de presse :

• Produits concernés : Cisco Identity Services Engine et ISE Passive Identity Connector, des versions 3.1 à 3.5.
• Versions corrigées : 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 et 3.5 Patch 4.
• Prérequis d'exploitation : aucun. Un attaquant distant et non authentifié, une seule requête spécialement conçue vers un point de terminaison d'API, ni compte ni mot de passe.
• Statut : activement exploitée selon le PSIRT de Cisco, et ajoutée au catalogue Known Exploited Vulnerabilities le 16 septembre 2026, avec une échéance de correction fixée au 19 septembre 2026 pour les agences fédérales américaines.
• Contournement : aucun. La seule mesure d'atténuation que mentionne Cisco consiste à restreindre l'accès à l'équipement au moyen de listes de contrôle d'accès d'infrastructure jusqu'à l'application du correctif.

Trois expressions de cette liste méritent qu'on s'y arrête : à distance, sans authentification, et sans contournement. Toute vulnérabilité à laquelle il manque l'une d'elles vous laisse une marge pour respirer. Celle-ci ne vous laisse rien, hormis le correctif ou l'isolement.

Pourquoi les appliances d'identité sont plus graves que tout autre serveur que vous exploitez

Dans un réseau d'entreprise, tous les systèmes ne se valent pas quant aux conséquences de leur compromission. Compromettez le serveur de reporting, et vous perdez des rapports. Compromettez l'équipement qui gouverne l'identité et l'accès, et vous n'avez pas perdu un appareil. Vous avez perdu le sens même du mot autorisation sur l'ensemble du réseau.

Quiconque obtient le contrôle administratif d'un tel système peut, en principe, modifier les politiques elles-mêmes, c'est-à-dire fabriquer une identité autorisée au lieu de chercher à déjouer un contrôle. C'est là toute la différence. L'attaque cesse d'être une intrusion qui paraît anormale dans les journaux et devient une entrée qui semble parfaitement légitime, puisqu'elle passe par la porte même à laquelle vous faites confiance. C'est le cas le plus difficile à détecter, car la surveillance repose sur l'hypothèse que tout ce que le système d'identité approuve est, par définition, approuvé.

Ajoutez à cela l'emplacement de ces appliances. Elles se trouvent au cœur du réseau et sont reliées à chaque segment, parce que leur fonction l'exige. Prendre pied sur l'appliance, c'est donc prendre pied sur une route ouverte vers tout ce qui se trouve derrière. Voilà pourquoi les systèmes d'identité, d'accès et d'authentification ont leur place tout en haut de la liste des actifs critiques, plutôt que dans l'inventaire général du matériel réseau. Nous avons abordé la même logique sous un autre angle dans notre article sur le point de défaillance unique que personne ne cartographie.

La leçon ne concerne pas Cisco

Il est facile d'y voir une simple actualité sur un produit d'un fournisseur. Cette lecture est confortable et inutile. Cisco a livré le correctif et a clairement indiqué le statut d'exploitation, ce qu'un fournisseur mature est censé faire. Les appliances de sécurité de tous les fournisseurs contiennent des vulnérabilités, parce que ce sont des logiciels, et d'autres avis comparables suivront.

La question à retenir n'est pas de savoir si vous utilisez Cisco. Elle est de savoir si vous connaissez les équipements et systèmes qui authentifient les utilisateurs de votre réseau, leurs versions, qui est responsable de leur mise à jour, et combien de temps cela prend réellement. Une organisation capable de répondre à ces quatre questions en une demi-heure traite cet avis comme une tâche de fin de journée. Une organisation qui ne sait pas qui administre l'appliance a besoin d'une semaine pour atteindre la ligne de départ, et toute cette semaine est une période d'exposition.

C'est exactement ce que demandent les Contrôles essentiels de cybersécurité publiés par l'Autorité nationale de cybersécurité (NCA) dans leur domaine consacré à la gestion des vulnérabilités : évaluation et détection périodiques des vulnérabilités, classement par gravité, correction selon ce classement et le risque associé, abonnement à des sources fiables pour être informé des nouvelles vulnérabilités, et gestion des correctifs qui vérifie l'intégrité et l'efficacité des mises à jour dans un environnement hors production avant de les appliquer. Le contrôle qui fait généralement défaut n'est pas l'application des correctifs elle-même. C'est la source fiable : une organisation qui ne reçoit jamais l'avis du fournisseur l'apprend par un article de presse quelques jours plus tard, voire ne l'apprend jamais.

Le regard d'Origami

Nous construisons des systèmes métier plutôt que de vendre du matériel réseau, et pourtant nous constatons les conséquences de ce problème dans chaque projet d'intégration. Chaque fois que nous connectons un nouveau système au réseau d'un client, la même question surgit : qui accorde les autorisations ici, et où cette décision est-elle consignée. Le constat récurrent est que le maillon fragile est rarement la nouvelle application ou son durcissement. C'est la couche que l'application suppose correcte et que personne n'inspecte, parce qu'elle est ancienne et fonctionne discrètement depuis des années.

Nous traitons donc tout composant situé sur le chemin de l'identité comme une partie de la sécurité applicative plutôt que comme un élément voisin. Il est inscrit dans la liste des actifs avec son nom, sa version et son responsable. Il dispose d'une fenêtre de maintenance convenue à l'avance, au lieu d'une fenêtre improvisée le jour où un avis tombe. Et son interface d'administration est réservée à un réseau d'administration distinct plutôt qu'accessible depuis le réseau général. Ce sont trois pratiques qui ne demandent aucun budget supplémentaire, et elles font la différence entre une entreprise qui lit l'avis de Cisco et sait quoi faire, et une autre qui le lit et commence par demander qui détient le mot de passe de l'appliance. Cela fait partie de notre manière de travailler dans l'ensemble de nos services.

Cinq questions auxquelles répondre cette semaine

Il ne s'agit pas d'un programme de sécurité complet. Ce sont cinq réponses qui révèlent votre état de préparation pour le prochain avis, car il y aura un prochain avis.

• Si vous utilisez Cisco ISE ou ISE-PIC : quelle version exploitez-vous, et se situe-t-elle entre 3.1 et 3.5 ? Si c'est le cas, les versions corrigées figurent plus haut, et il s'agit d'un travail urgent et non planifiable. Jusqu'à l'application du correctif, restreignez l'accès à l'équipement au moyen de listes de contrôle d'accès, comme le décrit l'avis.
• Liste des actifs : disposez-vous d'une liste écrite des systèmes d'authentification et d'accès que vous exploitez, avec leurs versions ? Si la réponse se trouve dans la tête d'une seule personne, ce n'est pas une liste.
• Flux d'avis : qui, dans votre organisation, est abonné aux avis de sécurité de chaque fournisseur que vous utilisez ? Cet abonnement est gratuit et prend quelques minutes, et son absence est généralement la cause du retard, bien plus qu'un manque d'outils.
• Délai de correction : combien d'heures ou de jours se sont écoulés entre le dernier avis critique que vous avez reçu et l'application du correctif ? Notez ce chiffre. C'est votre véritable indicateur, et il est plus honnête que n'importe quel plan écrit.
• Interfaces d'administration : les consoles d'administration de vos équipements critiques sont-elles accessibles depuis n'importe quel point du réseau, ou seulement depuis un réseau d'administration défini ? Restreindre l'accès ne supprime pas la vulnérabilité, mais transforme une attaque potentiellement menée depuis tout Internet en une attaque qui nécessite d'abord un point d'appui interne.

La conclusion pratique est précise. Les vulnérabilités ne sont pas un accident exceptionnel qui prend votre entreprise en embuscade ; ce sont des événements récurrents auxquels vous pouvez vous préparer. Ce qui distingue une organisation qui tient bon d'une organisation qui s'arrête, ce n'est pas l'absence de faille, mais les heures qui s'écoulent entre la publication du correctif et son application.

Sources

• Avis de sécurité de Cisco : la CVE-2026-76460 notée 10,0 au CVSS, les versions concernées et corrigées, la confirmation d'une exploitation active et l'absence de contournement, publié le 16 septembre 2026.
• Catalogue Known Exploited Vulnerabilities de la CISA : ajout le 16 septembre 2026, avec une échéance au 19 septembre 2026.
• Autorité nationale de cybersécurité (NCA) : Contrôles essentiels de cybersécurité, exigences relatives à la gestion des vulnérabilités et à la gestion des correctifs.