La faille Cisco exploitée n'a obtenu que 5,3

Deux notations sur une page, et elles se contredisent

Le 29 juillet 2026 à 16h00 GMT, Cisco a publié un avis sur le logiciel de son Secure Firewall Management Center, et le document se contredit d'une manière qui mérite une lecture attentive. La faille est CVE-2026-20316, suivie en interne sous le bogue CSCwt95997. Cisco lui attribue un score de base CVSS version 3.1 de 5,3, qui tombe dans la bande moyenne, et sur la même page une cote d'impact de sécurité élevée. Les deux chiffres sortent de procédés différents. Le premier est une arithmétique appliquée à une chaîne de vecteur. Le second est un jugement porté par des gens qui savent ce que fait le produit et où les clients le placent.

Quand un fournisseur passe outre sa propre arithmétique, c'est le passage outre qui fait signal. Cisco n'a pas relevé le score, ce qui aurait été le geste le plus commode; il a laissé le 5,3 debout et posé à côté la cote qualitative supérieure. Cette combinaison, c'est l'entreprise qui dit, dans les deux seuls vocabulaires dont elle dispose, que la formule décrit cela correctement et manque tout de même l'essentiel. La plupart des organisations ingèrent le premier chiffre automatiquement et le second pas du tout, car le premier arrive par une interface et le second en prose.

Ce que le vecteur mesure et ce qu'il laisse de côté

Le vecteur est AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N, et chaque terme y fait un travail honnête. La faille est joignable par le réseau, demande une faible complexité d'attaque, n'exige ni privilèges ni interaction de l'utilisateur et ne change pas de périmètre. Puis les impacts: confidentialité faible, intégrité nulle, disponibilité nulle. Qui l'exploite pourra lire certaines choses et n'en modifier aucune. Passé dans la formule, cela donne 5,3, et la formule n'a pas tort. Elle a répondu à la question posée.

La question qu'on ne lui a pas posée est celle de l'emplacement de la machine. Le Secure Firewall Management Center est le plan de gestion, la console depuis laquelle la politique de pare-feu est écrite puis déployée sur tout le parc. Un accès en lecture sur cette machine n'est pas un coup d'oeil aux données d'un système: c'est une reconnaissance du périmètre lui-même, des jeux de règles, des groupes d'objets et de la liste des sites qui existent. CVSS n'a pas de champ pour cela. La position est précisément ce qu'un score de base exclut à dessein, car la norme doit circuler entre des organisations qui déploient le même produit différemment, et le prix de cette portabilité est que le chiffre ne peut pas connaître votre topologie.

Trois jours, sur une horloge qui n'est pas la vôtre

La CISA a ajouté CVE-2026-20316 à son catalogue des vulnérabilités exploitées connues le 29 juillet, avec une échéance au 1er août, au titre de la Binding Operational Directive 26-04. L'action exigée se lit ainsi: appliquer les mesures d'atténuation conformément aux instructions du fournisseur et, si aucune correction n'est disponible, cesser d'utiliser le produit. Le catalogue dépasse désormais 1 600 entrées. En face de la faille, le champ consignant un usage connu dans des campagnes de rançon indique Inconnu, ce qui est un énoncé sur la visibilité et non sur la sécurité.

Cette directive lie les agences civiles fédérales américaines. Elle ne lie ni un industriel de Lyon ni un logisticien du Havre, et personne ne devrait corriger en croyant le contraire. Ce qui traverse l'Atlantique intact, c'est la preuve, car une entrée au catalogue est l'affirmation par un gouvernement qu'une exploitation a été observée sur le terrain. Sous NIS2, les entités essentielles et importantes doivent traiter les vulnérabilités comme une affaire de gouvernance, si bien que la décision finit écrite dans les deux sens. L'ANSSI est l'instance d'où viendrait un avis français. Ne pas tenir sciemment un délai fédéral de trois jours est une position défendable, et bien plus faible sans la note qui la motive.

Un mot de passe que personne ne peut changer

La classe de faiblesse est CWE-259, usage d'un mot de passe codé en dur, et Cisco affirme sans détour que des identifiants statiques pour un compte à faibles privilèges sont présents dans le logiciel. Cette formulation a des suites opérationnelles. Un mot de passe fuité se change, un mot de passe faible se renforce, un mot de passe par défaut se remplace au premier démarrage. Un mot de passe compilé n'est rien de tout cela: aucun champ de console ne le reçoit et aucune politique ne le désactive. La rubrique des contournements indique qu'il n'y en a pas, et ce n'est pas un oubli. Il ne reste tout simplement rien à éteindre.

Six branches de version le portent, 7.0, 7.2, 7.4, 7.6, 7.7 et 10.0, avec des correctifs rapides publiés pour toutes. C'est le calendrier qui devrait remonter au comité de gestion des changements. L'équipe de sécurité produit de Cisco déclare avoir eu connaissance en juillet 2026 d'une exploitation active de cette vulnérabilité, ce qui place les attaques avant le correctif. Pour toute fenêtre de juillet pendant laquelle une console concernée était joignable, la lecture honnête est que l'identifiant était public pour quiconque l'avait trouvé et hors de portée de l'exploitant qui possédait la machine.

Changez la règle de tri, pas seulement le parc

Corrigez d'abord, puis allez regarder la règle qui aurait déclassé ceci. La plupart des politiques de remédiation associent les bandes CVSS à des délais: critique sous une semaine, élevé sous un mois, moyen sous un trimestre. Faites passer CVE-2026-20316 dans cette logique et une faille exploitée avant l'existence de son correctif atterrit dans le tiroir des quatre-vingt-dix jours. L'échec ne tient pas à une négligence: il tient à ce que la politique pose au score une question à laquelle le score ne peut pas répondre, puis traite la réponse comme une consigne.

Trois changements valent la peine cette semaine. Ajoutez une règle voulant que toute entrée du catalogue des vulnérabilités exploitées hérite du délai le plus court que vous appliquez, quel que soit son score, car une exploitation observée est un fait du monde et un score de base une propriété de formule. Ajoutez-en une deuxième qui relève le niveau de tout ce qui se trouve sur un plan de gestion, puisque la console qui configure un contrôle vaut mieux comme cible que le contrôle. Recensez ensuite les instances du Secure Firewall Management Center joignables depuis l'extérieur et confirmez que chacune tourne sur une version corrigée, car le correctif est le seul remède offert.

À lire ensuite: ServiceNow a corrigé son cloud d'abord, vous 103 jours plus tard  |  Le correctif était public 81 jours avant l'avertissement