Neuf failles Cisco frappent le plan de contrôle

Deux avis, un seul jour, neuf failles

Cisco a publié deux avis de sécurité distincts le 19 août 2026, révélant neuf vulnérabilités dans deux de ses gammes de produits les plus sensibles. Le premier avis, 'Cisco Crosswork Security Hardening Release: August 2026', concerne Crosswork Data Gateway, Crosswork Network Controller, Crosswork Planning et Crosswork Workflow Manager. Le second, 'Cisco Secure Workload Software Security Hardening Release: August 2026', concerne Cisco Secure Workload, aussi bien en version SaaS qu'en version sur site.

Crosswork est la plateforme que les opérateurs télécoms et les grands réseaux d'entreprise utilisent pour automatiser leur infrastructure réseau de façon programmatique, tandis que Secure Workload est un produit de microsegmentation et de zero trust qui applique des politiques entre les charges de travail. À eux deux, les avis recensent quatre et cinq CVE respectivement, neuf au total.

L'avis de Cisco déclare clairement que l'entreprise n'a 'connaissance d'aucune annonce publique ni d'usage malveillant des vulnérabilités décrites dans cet avis', pour les deux publications. The Hacker News et SecurityWeek ont tous deux couvert les deux avis après leur publication par Cisco.

Neuf CVE, cinq scores maximaux

Les neuf vulnérabilités couvrent l'injection SQL, l'authentification manquante, le contrôle externe du système de fichiers, le contrôle d'accès inapproprié, l'authentification inappropriée, l'injection de commandes, des failles de validation des entrées et un dépassement de tampon. Cinq des neuf atteignent le score maximal possible de CVSS 10.0, et une sixième atteint 9.9, une concentration inhabituelle de scores proches du maximum pour une seule journée de publications.

Cisco indique une version corrigée pour chaque produit concerné : Crosswork Data Gateway, Crosswork Network Controller et Crosswork Planning passent tous à la 7.2.1-SP, Crosswork Workflow Manager passe à la 2.1.1-SP, et Secure Workload passe à la 3.10.9.1 ou à la 4.0.4.16 selon la branche de version. Cisco déclare explicitement qu'aucun contournement n'existe pour l'un ou l'autre des avis, la version corrigée est donc la seule mesure d'atténuation disponible.

Le plan de contrôle porte un rayon d'impact plus large

Crosswork et Secure Workload ne sont pas des applications ordinaires, ce sont le plan de contrôle qui fait fonctionner et protège le réseau qui les entoure. Crosswork automatise l'infrastructure réseau elle-même, et Secure Workload applique les limites de microsegmentation et de zero trust entre les charges de travail, si bien qu'une faille dans l'un ou l'autre de ces outils porte un rayon d'impact catégoriquement plus large qu'une faille dans un seul point de terminaison ou une seule application.

Une injection SQL non authentifiée ou une faille d'authentification manquante notée CVSS 10.0 dans Crosswork n'expose pas seulement le serveur Crosswork lui-même, elle peut atteindre chaque appareil que la plateforme est autorisée à automatiser, car compromettre l'outil qui contrôle tout le reste peut compromettre tout ce que cet outil contrôle. La même logique s'applique à Secure Workload, où une faille de contrôle d'accès ou d'authentification au score maximal, dans le produit même qui applique les limites de segmentation, risque de défaire l'isolation pour laquelle il a été déployé.

C'est le schéma que les opérateurs devraient peser au-delà des seuls numéros de CVE. Le logiciel d'orchestration et d'application des politiques se situe au-dessus des systèmes qu'il gère, sa propre posture de sécurité fixe donc un plafond pour la sécurité de tout ce qui se trouve en dessous.

Cisco a trouvé ces failles avant tout le monde

Les deux avis sont le fruit de la propre revue de sécurité d'ingénierie interne de Cisco, non d'un signalement d'un chercheur externe ni d'une réponse à une exploitation active. La plupart des divulgations dans ce domaine n'atteignent les opérateurs qu'après qu'un chercheur externe ou un attaquant en circulation force la main du fournisseur.

Trouver cinq vulnérabilités au score maximal par revue interne avant quiconque à l'extérieur est un travail de sécurité authentiquement proactif, et mérite d'être reconnu comme tel. Cela soulève aussi une question légitime pour les opérateurs sur leur propre logiciel de plan de contrôle : si une seule revue interne chez Cisco a mis au jour neuf failles de cette gravité en un seul passage, les plateformes équivalentes d'autres fournisseurs n'ont probablement pas encore reçu le même niveau d'examen.

Le chemin de correction pour les deux avis

Comme aucun des deux avis n'offre de contournement, la mise à jour elle-même est la seule mesure d'atténuation réelle. Les clients de Crosswork Data Gateway, Crosswork Network Controller et Crosswork Planning ont besoin de la version 7.2.1-SP, et les clients de Crosswork Workflow Manager ont besoin de la version 2.1.1-SP.

Les clients de Secure Workload en version 3.10 ou antérieure ont besoin de la 3.10.9.1, et ceux en version 4.0 ont besoin de la 4.0.4.16. Les clients SaaS n'ont besoin de mettre à jour que leurs composants Agent et Connector, puisque Cisco gère le cluster lui-même, tandis que les clients sur site doivent mettre à jour le Cluster, l'Agent et le Connector ensemble.

Pas encore exploité décrit la situation d'aujourd'hui, et cette situation peut changer. Sans aucun contournement disponible, planifier la mise à jour est la seule action qui referme réellement l'exposition.

À lire ensuite: La faille Cisco exploitée n'a obtenu que 5,3  |  Une faille Cisco de 18 ans, délai de 3 jours