CVE‑2026‑20223 : une faille critique dans Cisco Secure Workload exposée via des API REST internes

Une vulnérabilité critique dans Cisco Secure Workload

Cisco a révélé une faille de sécurité critique identifiée sous le numéro CVE‑2026‑20223 dans sa plateforme Cisco Secure Workload, un produit utilisé pour la visibilité et la segmentation des charges de travail dans les infrastructures cloud et datacenter. Selon la base de données nationale des vulnérabilités (NVD), le problème concerne la validation d’accès des API REST internes du système.

En raison de cette faiblesse, un attaquant distant non authentifié pourrait accéder aux ressources d’un site avec les privilèges d’un autre utilisateur ou d’un autre tenant, ce qui représente un risque majeur dans les environnements multi‑locataires.

Au moment de la publication des informations disponibles, la fiche NVD était encore marquée « Awaiting Enrichment », ce qui signifie que l’analyse complète par le NVD n’avait pas encore été finalisée.

Comment fonctionne l’attaque via les API REST

Le mécanisme de la vulnérabilité repose sur une validation et une authentification insuffisantes lors de l’accès à certains endpoints d’API REST internes.

Dans un fonctionnement normal, ces interfaces doivent vérifier que la requête provient d’un utilisateur authentifié et autorisé. Dans ce cas précis, ces contrôles ne seraient pas correctement appliqués.

Un attaquant pourrait donc :

• envoyer une requête API spécialement conçue vers un endpoint vulnérable ;
• contourner les contrôles d’authentification ou d’autorisation ;
• accéder aux ressources du site avec les privilèges d’un autre compte ou d’un tenant différent.

Si l’exploitation réussit, cela pourrait permettre la consultation d’informations sensibles ou la modification de certaines configurations dans l’environnement cible.

Pourquoi la faille est considérée comme extrêmement grave

Certaines bases de données de sécurité et agrégateurs de vulnérabilités indiquent que CVE‑2026‑20223 a reçu un score CVSS v3.1 maximal de 10.0, le niveau le plus élevé sur l’échelle de gravité.

Les facteurs qui expliquent généralement une note aussi élevée incluent :

• exploitation à distance via le réseau ;
• aucune authentification requise ;
• accès possible à des ressources avec des privilèges élevés ;
• impact potentiel sur la confidentialité et l’intégrité des données.

Des analyses mentionnent également un impact inter‑tenant ("scope changed"), c’est‑à‑dire que l’exploitation pourrait franchir les frontières de sécurité entre différents locataires d’une même plateforme — un scénario particulièrement critique dans les environnements multi‑clients.

Cependant, les sources primaires disponibles ici ne fournissent pas le vecteur CVSS officiel complet, ce qui ne permet pas de confirmer indépendamment tous les paramètres de calcul du score à partir des données fournies.

Versions affectées et correctifs

Les éléments de preuve disponibles indiquent l’existence de la vulnérabilité mais ne fournissent pas la matrice officielle des versions affectées ou corrigées dans Cisco Secure Workload.

Par conséquent, les administrateurs doivent consulter directement les avis de sécurité Cisco ou les notes de version correspondantes pour déterminer :

• les versions exactes vulnérables ;
• les mises à jour de sécurité disponibles ;
• la procédure de mise à niveau recommandée.

Un exemple parmi plusieurs alertes Cisco en 2026

Cette vulnérabilité s’inscrit dans une série d’alertes de sécurité publiées par Cisco en 2026 touchant différents produits réseau et de sécurité. Par exemple :

• Cisco Prime Infrastructure : vulnérabilité de divulgation d’informations (CVE‑2026‑20189).
• Cisco Unity Connection : failles permettant l’exécution de code à distance et des attaques SSRF (CVE‑2026‑20034, CVE‑2026‑20035).
• Cisco Identity Services Engine (ISE) : vulnérabilités de contournement d’authentification.
• Cisco Nexus Dashboard : vulnérabilité liée à une API REST de sauvegarde de configuration.
• Cisco Secure Firewall Management Center : faille critique d’exécution de code à distance avec un score CVSS de 10.0 (CVE‑2026‑20131).

Ces alertes illustrent l’importance de maintenir à jour les plateformes réseau et de sécurité et de surveiller régulièrement les avis publiés par les fournisseurs.

À retenir pour les équipes sécurité

La vulnérabilité CVE‑2026‑20223 doit être considérée comme hautement prioritaire, car elle implique :

• un accès potentiel sans authentification ;
• une exploitation possible à distance ;
• l’accès à des ressources avec des privilèges élevés ou inter‑tenant.

Les organisations utilisant Cisco Secure Workload devraient vérifier immédiatement leur version du produit et appliquer les correctifs disponibles dès confirmation officielle des versions affectées.