• 15 vulnérabilités ont été corrigées.
• Huit vulnérabilités sont classées critiques selon les scores détaillés : quatre dans Crosswork et quatre dans Secure Workload.
• CVE-2026-20320, dans BroadWorks, est une faille XXE de gravité élevée notée CVSS 7,5. Elle est exploitable à distance sans authentification et peut permettre la lecture de données sensibles.
• Les environnements Crosswork doivent être mis à niveau vers 7.2.1-SP.
• Les versions corrigées de Secure Workload sont 3.10.9.1 pour la branche 3.10 et 4.0.4.16 pour la branche 4.0.
• Aucun contournement n’est disponible pour les vulnérabilités concernées.

Crosswork : quatre vulnérabilités critiques

La mise à jour de sécurité de Crosswork concerne Crosswork Data Gateway, Crosswork Network Controller et Crosswork Planning en version 7.2.1 ou antérieure. Cisco recommande de passer à 7.2.1-SP.

Les vulnérabilités sont les suivantes :

• CVE-2026-20030 : injection SQL, avec un score CVSS 10,0 ;
• CVE-2026-20357 : absence d’authentification pour une fonction critique, CVSS 10,0 ;
• CVE-2026-20358 : contrôle externe du système de fichiers, CVSS 10,0 ;
• CVE-2026-20359 : protection insuffisante des identifiants, CVSS 9,9.

Cisco précise que ces failles ont été découvertes lors de ses tests internes, notamment avec l’aide de modèles d’IA dits « frontier ». L’entreprise ne signale aucune exploitation connue et ne fournit aucun contournement.

La combinaison de fonctions critiques accessibles sans authentification, d’injection SQL, de contrôle du système de fichiers et d’exposition potentielle d’identifiants représente un risque particulièrement sérieux pour les organisations qui exposent leur infrastructure d’administration ou la relient à des systèmes réseau sensibles. Les scores CVSS décrivent toutefois l’impact potentiel et ne prouvent pas une exploitation active dans la nature.

Secure Workload : cinq failles, dont quatre critiques

Les déploiements SaaS et sur site de Cisco Secure Workload sont concernés. Cisco indique que la version 3.10.9.1 corrige la branche 3.10 et les versions antérieures, tandis que 4.0.4.16 corrige la branche 4.0. Les clients sur site doivent mettre à jour tous les composants concernés — Cluster, Agent et Connector. Cisco précise que le cluster SaaS a déjà été mis à jour.

Les cinq CVE sont :

• CVE-2026-20231 : injection de commandes, de commandes système ou d’arguments, CVSS 9,9 ;
• CVE-2026-20315 : contrôle d’accès incorrect, CVSS 10,0 ;
• CVE-2026-20317 : authentification incorrecte, CVSS 10,0 ;
• CVE-2026-20318 : validation incorrecte des entrées, notamment avec des mécanismes de traversée de répertoires et de contrôle de chemins externes, CVSS 9,6 ;
• CVE-2026-20319 : dépassement de tampon ou écriture hors limites, CVSS 7,5.

La dernière vulnérabilité est donc classée élevée, et non critique, tandis que les quatre autres atteignent le niveau critique selon leur score CVSS. Cisco attribue ces découvertes à ses processus de tests internes et ne signale ni exploitation connue ni solution de contournement.

BroadWorks : une faille XXE exploitable sans authentification

CVE-2026-20320 touche l’analyseur XML de l’Open Client Interface (OCI) de Cisco BroadWorks. Cette vulnérabilité XXE (« XML External Entity ») aveugle, de gravité élevée, est notée CVSS 7,5 et peut être exploitée à distance sans authentification.

La résolution des entités externes étant activée par défaut, un attaquant peut envoyer un message XML spécialement conçu au service OCI-P. Une exploitation réussie peut exposer des informations de configuration sensibles ainsi que des fichiers accessibles par l’utilisateur BroadWorks.

Les composants concernés comprennent :

• BroadWorks Application Delivery Platform ;
• BroadWorks Application Server ;
• BroadWorks Profile Server ;
• BroadWorks Xtended Services Platform.

Les versions antérieures à RI.2026.07 sont vulnérables. Cisco identifie RI.2026.07 comme la version corrective et ne fournit aucun contournement. La découverte est attribuée à Sandesh M. Gawai. Cisco indique ne pas avoir connaissance d’une exploitation publique au moment de la publication.

Le caractère distant et non authentifié de cette faille justifie une vérification rapide des versions BroadWorks et un déploiement prioritaire du correctif, même si aucune exploitation active n’a été établie.

Cinq vulnérabilités de gravité moyenne dans d’autres produits

Les cinq autres vulnérabilités concernent Unified Intelligence Center, RoomOS, les commutateurs Industrial Ethernet 1000 et Packaged Contact Center Enterprise.

Unified Intelligence Center : CVE-2026-20327

Cette vulnérabilité d’injection SQL aveugle, locale et authentifiée affiche un score CVSS 6,5. Un utilisateur disposant d’un compte valide pourrait exploiter l’interface d’administration web pour lire des données de la base interne.

Les versions corrigées sont 12.6(2) ES08 et 15.0(1) SU2. Les versions antérieures à 12.6 doivent migrer vers une version prise en charge et corrigée. Cisco attribue la découverte à Hesham Ahmed, de Spark Professional Services, et ne signale ni contournement ni exploitation malveillante connue.

RoomOS : CVE-2026-20302

Cette faille de la pile de pilotes USB de RoomOS est notée CVSS 6,1. Elle nécessite un accès physique à un port USB, mais pourrait permettre l’exécution de code arbitraire avec les privilèges root.

Pour les déploiements sur site, les correctifs indiqués sont 11.32.7.0 et 26.7.2.2. Pour les déploiements connectés au cloud, il s’agit de 11.40.1.1 et 26.7.1.12.

Cisco attribue la découverte à Jean-Michel Huguet, du NATO Cyber Security Centre, et ne signale aucune exploitation connue ni aucun contournement.

Commutateurs Industrial Ethernet 1000

Les deux vulnérabilités affectant cette gamme sont corrigées dans la version 1.9.6. Les versions antérieures à 1.9 doivent migrer vers une version corrigée prise en charge.

• CVE-2026-20232 est une faille XSS persistante notée CVSS 5,4. Un utilisateur distant authentifié pourrait injecter un script exécuté dans le contexte de l’interface d’administration d’un autre utilisateur. Cisco attribue la découverte à Rockwell Automation.
• CVE-2026-20177 est une faille de déni de service par saturation du plan de gestion, notée CVSS 5,3. Un attaquant non authentifié pourrait saturer le trafic ICMP, SSH ou HTTP et rendre indisponibles l’interface graphique, SSH ou l’API. Le transfert des données resterait toutefois opérationnel. Cette vulnérabilité a été découverte par Cisco en interne.

Cisco ne signale aucun contournement ni exploitation malveillante connue pour ces deux failles.

Packaged CCE et Unified CCE : CVE-2026-20314

Cette vulnérabilité SSRF (« Server-Side Request Forgery ») distante et authentifiée est notée CVSS 5,0. Des requêtes HTTP spécialement conçues pourraient contraindre le serveur vulnérable à émettre des requêtes vers des adresses réseau arbitraires.

Le correctif est inclus dans 15.0(1)ES202607. Les versions antérieures à 15.0 doivent migrer vers une version corrigée. Cisco attribue la découverte à Hesham Ahmed, de Spark Professional Services, et ne signale ni contournement ni exploitation connue.

Quelles mesures prendre ?

1. Recenser les produits et les versions déployés. Vérifiez les installations de Crosswork, Secure Workload, BroadWorks, Unified Intelligence Center, RoomOS, Industrial Ethernet 1000 et CCE par rapport aux versions concernées.
2. Donner la priorité aux services exposés sans authentification. Les failles critiques de Crosswork et la CVE-2026-20320 de BroadWorks présentent un risque particulier car elles ne reposent pas sur le même niveau d’accès authentifié que plusieurs vulnérabilités de gravité moyenne.
3. Installer les versions correctives. Les principales cibles sont Crosswork 7.2.1-SP, Secure Workload 3.10.9.1 ou 4.0.4.16, BroadWorks RI.2026.07, Unified Intelligence Center 12.6(2) ES08 ou 15.0(1) SU2, Industrial Ethernet 1000 1.9.6 et CCE 15.0(1)ES202607. Pour RoomOS, choisissez la version correspondant au mode de déploiement.
4. Mettre à jour tous les composants Secure Workload nécessaires. Pour les installations sur site, Cisco cite explicitement les composants Cluster, Agent et Connector.
5. Continuer la surveillance. L’absence d’exploitation connue reflète la situation constatée par Cisco au moment de la divulgation ; elle ne garantit pas que ces failles resteront inexploitées.

Le message pratique est clair : aucun contournement n’est disponible et les vulnérabilités les plus sérieuses touchent des produits susceptibles de gérer des réseaux, des charges de travail ou des infrastructures de communication. Les organisations concernées doivent vérifier leurs versions et planifier l’installation des mises à jour Cisco sans attendre l’apparition d’une preuve d’exploitation.

• 15 vulnérabilités ont été corrigées.
• Huit vulnérabilités sont classées critiques selon les scores détaillés : quatre dans Crosswork et quatre dans Secure Workload.
• CVE-2026-20320, dans BroadWorks, est une faille XXE de gravité élevée notée CVSS 7,5. Elle est exploitable à distance sans authentification et peut permettre la lecture de données sensibles.
• Les environnements Crosswork doivent être mis à niveau vers 7.2.1-SP.
• Les versions corrigées de Secure Workload sont 3.10.9.1 pour la branche 3.10 et 4.0.4.16 pour la branche 4.0.
• Aucun contournement n’est disponible pour les vulnérabilités concernées.

Crosswork : quatre vulnérabilités critiques

La mise à jour de sécurité de Crosswork concerne Crosswork Data Gateway, Crosswork Network Controller et Crosswork Planning en version 7.2.1 ou antérieure. Cisco recommande de passer à 7.2.1-SP.

Les vulnérabilités sont les suivantes :

• CVE-2026-20030 : injection SQL, avec un score CVSS 10,0 ;
• CVE-2026-20357 : absence d’authentification pour une fonction critique, CVSS 10,0 ;
• CVE-2026-20358 : contrôle externe du système de fichiers, CVSS 10,0 ;
• CVE-2026-20359 : protection insuffisante des identifiants, CVSS 9,9.

Cisco précise que ces failles ont été découvertes lors de ses tests internes, notamment avec l’aide de modèles d’IA dits « frontier ». L’entreprise ne signale aucune exploitation connue et ne fournit aucun contournement.

La combinaison de fonctions critiques accessibles sans authentification, d’injection SQL, de contrôle du système de fichiers et d’exposition potentielle d’identifiants représente un risque particulièrement sérieux pour les organisations qui exposent leur infrastructure d’administration ou la relient à des systèmes réseau sensibles. Les scores CVSS décrivent toutefois l’impact potentiel et ne prouvent pas une exploitation active dans la nature.

Secure Workload : cinq failles, dont quatre critiques

Les déploiements SaaS et sur site de Cisco Secure Workload sont concernés. Cisco indique que la version 3.10.9.1 corrige la branche 3.10 et les versions antérieures, tandis que 4.0.4.16 corrige la branche 4.0. Les clients sur site doivent mettre à jour tous les composants concernés — Cluster, Agent et Connector. Cisco précise que le cluster SaaS a déjà été mis à jour.

Les cinq CVE sont :

• CVE-2026-20231 : injection de commandes, de commandes système ou d’arguments, CVSS 9,9 ;
• CVE-2026-20315 : contrôle d’accès incorrect, CVSS 10,0 ;
• CVE-2026-20317 : authentification incorrecte, CVSS 10,0 ;
• CVE-2026-20318 : validation incorrecte des entrées, notamment avec des mécanismes de traversée de répertoires et de contrôle de chemins externes, CVSS 9,6 ;
• CVE-2026-20319 : dépassement de tampon ou écriture hors limites, CVSS 7,5.

La dernière vulnérabilité est donc classée élevée, et non critique, tandis que les quatre autres atteignent le niveau critique selon leur score CVSS. Cisco attribue ces découvertes à ses processus de tests internes et ne signale ni exploitation connue ni solution de contournement.

BroadWorks : une faille XXE exploitable sans authentification

CVE-2026-20320 touche l’analyseur XML de l’Open Client Interface (OCI) de Cisco BroadWorks. Cette vulnérabilité XXE (« XML External Entity ») aveugle, de gravité élevée, est notée CVSS 7,5 et peut être exploitée à distance sans authentification.

La résolution des entités externes étant activée par défaut, un attaquant peut envoyer un message XML spécialement conçu au service OCI-P. Une exploitation réussie peut exposer des informations de configuration sensibles ainsi que des fichiers accessibles par l’utilisateur BroadWorks.

Les composants concernés comprennent :

• BroadWorks Application Delivery Platform ;
• BroadWorks Application Server ;
• BroadWorks Profile Server ;
• BroadWorks Xtended Services Platform.

Les versions antérieures à RI.2026.07 sont vulnérables. Cisco identifie RI.2026.07 comme la version corrective et ne fournit aucun contournement. La découverte est attribuée à Sandesh M. Gawai. Cisco indique ne pas avoir connaissance d’une exploitation publique au moment de la publication.

Le caractère distant et non authentifié de cette faille justifie une vérification rapide des versions BroadWorks et un déploiement prioritaire du correctif, même si aucune exploitation active n’a été établie.

Cinq vulnérabilités de gravité moyenne dans d’autres produits

Les cinq autres vulnérabilités concernent Unified Intelligence Center, RoomOS, les commutateurs Industrial Ethernet 1000 et Packaged Contact Center Enterprise.

Unified Intelligence Center : CVE-2026-20327

Cette vulnérabilité d’injection SQL aveugle, locale et authentifiée affiche un score CVSS 6,5. Un utilisateur disposant d’un compte valide pourrait exploiter l’interface d’administration web pour lire des données de la base interne.

Les versions corrigées sont 12.6(2) ES08 et 15.0(1) SU2. Les versions antérieures à 12.6 doivent migrer vers une version prise en charge et corrigée. Cisco attribue la découverte à Hesham Ahmed, de Spark Professional Services, et ne signale ni contournement ni exploitation malveillante connue.

RoomOS : CVE-2026-20302

Cette faille de la pile de pilotes USB de RoomOS est notée CVSS 6,1. Elle nécessite un accès physique à un port USB, mais pourrait permettre l’exécution de code arbitraire avec les privilèges root.

Pour les déploiements sur site, les correctifs indiqués sont 11.32.7.0 et 26.7.2.2. Pour les déploiements connectés au cloud, il s’agit de 11.40.1.1 et 26.7.1.12.

Cisco attribue la découverte à Jean-Michel Huguet, du NATO Cyber Security Centre, et ne signale aucune exploitation connue ni aucun contournement.

Commutateurs Industrial Ethernet 1000

Les deux vulnérabilités affectant cette gamme sont corrigées dans la version 1.9.6. Les versions antérieures à 1.9 doivent migrer vers une version corrigée prise en charge.

• CVE-2026-20232 est une faille XSS persistante notée CVSS 5,4. Un utilisateur distant authentifié pourrait injecter un script exécuté dans le contexte de l’interface d’administration d’un autre utilisateur. Cisco attribue la découverte à Rockwell Automation.
• CVE-2026-20177 est une faille de déni de service par saturation du plan de gestion, notée CVSS 5,3. Un attaquant non authentifié pourrait saturer le trafic ICMP, SSH ou HTTP et rendre indisponibles l’interface graphique, SSH ou l’API. Le transfert des données resterait toutefois opérationnel. Cette vulnérabilité a été découverte par Cisco en interne.

Cisco ne signale aucun contournement ni exploitation malveillante connue pour ces deux failles.

Packaged CCE et Unified CCE : CVE-2026-20314

Cette vulnérabilité SSRF (« Server-Side Request Forgery ») distante et authentifiée est notée CVSS 5,0. Des requêtes HTTP spécialement conçues pourraient contraindre le serveur vulnérable à émettre des requêtes vers des adresses réseau arbitraires.

Le correctif est inclus dans 15.0(1)ES202607. Les versions antérieures à 15.0 doivent migrer vers une version corrigée. Cisco attribue la découverte à Hesham Ahmed, de Spark Professional Services, et ne signale ni contournement ni exploitation connue.

Quelles mesures prendre ?

1. Recenser les produits et les versions déployés. Vérifiez les installations de Crosswork, Secure Workload, BroadWorks, Unified Intelligence Center, RoomOS, Industrial Ethernet 1000 et CCE par rapport aux versions concernées.
2. Donner la priorité aux services exposés sans authentification. Les failles critiques de Crosswork et la CVE-2026-20320 de BroadWorks présentent un risque particulier car elles ne reposent pas sur le même niveau d’accès authentifié que plusieurs vulnérabilités de gravité moyenne.
3. Installer les versions correctives. Les principales cibles sont Crosswork 7.2.1-SP, Secure Workload 3.10.9.1 ou 4.0.4.16, BroadWorks RI.2026.07, Unified Intelligence Center 12.6(2) ES08 ou 15.0(1) SU2, Industrial Ethernet 1000 1.9.6 et CCE 15.0(1)ES202607. Pour RoomOS, choisissez la version correspondant au mode de déploiement.
4. Mettre à jour tous les composants Secure Workload nécessaires. Pour les installations sur site, Cisco cite explicitement les composants Cluster, Agent et Connector.
5. Continuer la surveillance. L’absence d’exploitation connue reflète la situation constatée par Cisco au moment de la divulgation ; elle ne garantit pas que ces failles resteront inexploitées.

Le message pratique est clair : aucun contournement n’est disponible et les vulnérabilités les plus sérieuses touchent des produits susceptibles de gérer des réseaux, des charges de travail ou des infrastructures de communication. Les organisations concernées doivent vérifier leurs versions et planifier l’installation des mises à jour Cisco sans attendre l’apparition d’une preuve d’exploitation.