CVE‑2026‑20223 : comment une API interne non authentifiée a créé un risque critique dans Cisco Secure Workload

Ces API sont normalement destinées à un usage interne et supposées être protégées par des contrôles d’accès stricts. Or, certaines requêtes ne vérifiaient pas correctement l’authentification ou les autorisations.

En conséquence, un attaquant peut envoyer une requête API spécialement conçue vers un point d’accès vulnérable et obtenir un accès à des ressources normalement réservées aux utilisateurs autorisés.

Une exploitation réussie pourrait permettre :

• l’accès à des données sensibles du site
• la modification de paramètres de configuration
• l’exécution d’actions avec des privilèges de type Site Admin

Le fait que l’attaque ne nécessite ni identifiants ni accès préalable au système augmente considérablement le niveau de risque.

Comment fonctionne l’exploitation via l’API REST

La vulnérabilité provient d’un manque de validation et d’authentification lors de l’accès à certains endpoints API internes.

Le scénario d’attaque est relativement simple :

1. L’attaquant identifie un endpoint REST exposé utilisé par le système.
2. Il envoie une requête API spécialement construite vers cet endpoint.
3. L’API ne vérifie pas correctement l’authentification ou les permissions.
4. Le système traite la requête comme si elle provenait d’un utilisateur autorisé.

Cela peut permettre à l’attaquant de lire des informations sensibles ou de modifier la configuration de la plateforme.

Pourquoi le score CVSS atteint 10.0

La vulnérabilité a reçu un score CVSS de 10.0 (Critical), le niveau maximal de sévérité dans ce système d’évaluation des risques.

Plusieurs facteurs expliquent cette note :

• Exploitation via le réseau : l’attaque peut être menée à distance.
• Aucune authentification requise : les attaquants n’ont pas besoin de compte valide.
• Faible complexité d’exploitation : une simple requête API malveillante peut suffire.
• Impact élevé : accès à des données sensibles et modification possible des configurations.

Certaines analyses indiquent également que la vulnérabilité pourrait toucher des ressources appartenant à différents tenants (multi‑tenant). Dans ce cas, l’exploitation franchit la frontière de sécurité initiale du composant, ce qui correspond au critère "Scope Changed" dans le modèle CVSS et augmente la gravité globale de la faille.

Versions affectées et correctifs disponibles

Cisco a publié des mises à jour logicielles pour corriger la vulnérabilité dans Cisco Secure Workload Cluster Software.

Les versions corrigées connues incluent notamment :

• Cisco Secure Workload 4.0.3.17
• Cisco Secure Workload 3.10.8.3

Les déploiements utilisant la version 3.9 ou des versions antérieures sont considérés comme vulnérables et doivent être mis à niveau vers une version corrigée.

Cisco n’a pas fourni de solution de contournement fiable, ce qui signifie que l’installation du correctif logiciel est la principale mesure de protection.

Une série d’alertes de sécurité chez Cisco en 2026

La divulgation de CVE‑2026‑20223 intervient dans un contexte où plusieurs vulnérabilités ont été signalées dans les produits Cisco en 2026.

Par exemple :

• Cisco Prime Infrastructure (CVE‑2026‑20189) — vulnérabilité de divulgation d’informations due à des contrôles d’autorisation insuffisants.
• Cisco Unity Connection (CVE‑2026‑20034, CVE‑2026‑20035) — failles pouvant permettre l’exécution de code à distance ou des attaques SSRF.
• Cisco Identity Services Engine (CVE‑2026‑20193, CVE‑2026‑20195) — vulnérabilités permettant de contourner certains mécanismes d’autorisation.
• Cisco Nexus Dashboard (CVE‑2026‑20042) — problème d’API REST exposant des informations de configuration sensibles.

Cette tendance reflète une réalité de plus en plus répandue dans les infrastructures d’entreprise : les plateformes reposent largement sur des API pour l’administration et l’automatisation. Lorsque ces API ne vérifient pas correctement l’authentification ou les permissions, elles peuvent devenir un point d’entrée critique pour les attaquants.

À retenir

CVE‑2026‑20223 illustre un problème fréquent mais dangereux dans les architectures modernes : des contrôles d’accès insuffisants sur des API internes.

Pour les organisations utilisant Cisco Secure Workload, les mesures prioritaires sont :

• identifier les déploiements exécutant des versions vulnérables
• mettre à niveau vers 3.10.8.3 ou 4.0.3.17
• examiner l’exposition des API et les contrôles d’accès dans les plateformes d’administration

Même lorsqu’elles sont destinées uniquement à des composants internes, les API doivent appliquer des contrôles d’authentification et d’autorisation stricts sur chaque endpoint, faute de quoi une simple requête peut suffire à compromettre une infrastructure entière.