CVE‑2026‑20223 : une faille critique dans Cisco Secure Workload exposée via des API REST internes

Comment fonctionne l’attaque via les API REST

Le mécanisme de la vulnérabilité repose sur une validation et une authentification insuffisantes lors de l’accès à certains endpoints d’API REST internes.

Dans un fonctionnement normal, ces interfaces doivent vérifier que la requête provient d’un utilisateur authentifié et autorisé. Dans ce cas précis, ces contrôles ne seraient pas correctement appliqués.

Un attaquant pourrait donc :

• envoyer une requête API spécialement conçue vers un endpoint vulnérable ;
• contourner les contrôles d’authentification ou d’autorisation ;
• accéder aux ressources du site avec les privilèges d’un autre compte ou d’un tenant différent.

Si l’exploitation réussit, cela pourrait permettre la consultation d’informations sensibles ou la modification de certaines configurations dans l’environnement cible.

Pourquoi la faille est considérée comme extrêmement grave

Certaines bases de données de sécurité et agrégateurs de vulnérabilités indiquent que CVE‑2026‑20223 a reçu un score CVSS v3.1 maximal de 10.0, le niveau le plus élevé sur l’échelle de gravité.

Les facteurs qui expliquent généralement une note aussi élevée incluent :

• exploitation à distance via le réseau ;
• aucune authentification requise ;
• accès possible à des ressources avec des privilèges élevés ;
• impact potentiel sur la confidentialité et l’intégrité des données.

Des analyses mentionnent également un impact inter‑tenant ("scope changed"), c’est‑à‑dire que l’exploitation pourrait franchir les frontières de sécurité entre différents locataires d’une même plateforme — un scénario particulièrement critique dans les environnements multi‑clients.

Cependant, les sources primaires disponibles ici ne fournissent pas le vecteur CVSS officiel complet, ce qui ne permet pas de confirmer indépendamment tous les paramètres de calcul du score à partir des données fournies.

Versions affectées et correctifs

Les éléments de preuve disponibles indiquent l’existence de la vulnérabilité mais ne fournissent pas la matrice officielle des versions affectées ou corrigées dans Cisco Secure Workload.

Par conséquent, les administrateurs doivent consulter directement les avis de sécurité Cisco ou les notes de version correspondantes pour déterminer :

• les versions exactes vulnérables ;
• les mises à jour de sécurité disponibles ;
• la procédure de mise à niveau recommandée.

Un exemple parmi plusieurs alertes Cisco en 2026

Cette vulnérabilité s’inscrit dans une série d’alertes de sécurité publiées par Cisco en 2026 touchant différents produits réseau et de sécurité. Par exemple :

• Cisco Prime Infrastructure : vulnérabilité de divulgation d’informations (CVE‑2026‑20189).
• Cisco Unity Connection : failles permettant l’exécution de code à distance et des attaques SSRF (CVE‑2026‑20034, CVE‑2026‑20035).
• Cisco Identity Services Engine (ISE) : vulnérabilités de contournement d’authentification.
• Cisco Nexus Dashboard : vulnérabilité liée à une API REST de sauvegarde de configuration.
• Cisco Secure Firewall Management Center : faille critique d’exécution de code à distance avec un score CVSS de 10.0 (CVE‑2026‑20131).

Ces alertes illustrent l’importance de maintenir à jour les plateformes réseau et de sécurité et de surveiller régulièrement les avis publiés par les fournisseurs.

À retenir pour les équipes sécurité

La vulnérabilité CVE‑2026‑20223 doit être considérée comme hautement prioritaire, car elle implique :

• un accès potentiel sans authentification ;
• une exploitation possible à distance ;
• l’accès à des ressources avec des privilèges élevés ou inter‑tenant.

Les organisations utilisant Cisco Secure Workload devraient vérifier immédiatement leur version du produit et appliquer les correctifs disponibles dès confirmation officielle des versions affectées.