Mastodawn

📢 Cisco SD-WAN Manager : élévation de privilèges root via injection de commande, sans correctif disponible
📝 📰 **Source** : SecurityAffairs — **Date...
📖 cyberveille : https://cyberveille.ch/posts/2026-06-13-cisco-sd-wan-manager-elevation-de-privileges-root-via-injection-de-commande-sans-correctif-disponible/
🌐 source : https://securityaffairs.com/193203/security/cisco-sd-wan-has-a-new-root-level-problem-and-theres-no-fix-yet.html
#CVE_2022_20775 #CVE_2026_20127 #Cyberveille

Cisco SD-WAN Manager : élévation de privilèges root via injection de commande, sans correctif disponible

📰 Source : SecurityAffairs — Date de publication : 5 juin 2026 Cisco publie une alerte concernant CVE-2026-20245 (score CVSS 7.8), une vulnérabilité d’élévation de privilèges affectant Cisco Catalyst SD-WAN Manager (anciennement SD-WAN vManage). La faille permet à un attaquant local authentifié d’exécuter des commandes arbitraires en tant que root via une injection de commande par upload de fichier. 🔍 Mécanisme d’exploitation : La vulnérabilité est due à une validation insuffisante des entrées utilisateur L’attaquant doit disposer de privilèges netadmin sur le système cible Ces privilèges peuvent être obtenus via des identifiants volés ou en chaînant l’exploitation de CVE-2026-20182 ou CVE-2026-20127 L’exploitation peut entraîner des modifications de configuration poussées vers les équipements edge 🌐 Périmètre affecté :

CyberVeille

CyberVeille.ch May 19

📢 Cisco SD-WAN : vulnérabilité critique CVE-2026-20182 exploitée en zero-day, patch d'urgence requis
📝 ## 🗓️ Contexte

Source : The Register — Publié le 15 mai 2026...
📖 cyberveille : https://cyberveille.ch/posts/2026-05-19-cisco-sd-wan-vulnerabilite-critique-cve-2026-20182-exploitee-en-zero-day-patch-d-urgence-requis/
🌐 source : https://www.theregister.com/patches/2026/05/15/cisco-discloses-yet-another-sd-wan-make-me-admin-0-day/5241071
#CISA_KEV #CVE_2026_20127 #Cyberveille

Cisco SD-WAN : vulnérabilité critique CVE-2026-20182 exploitée en zero-day, patch d'urgence requis

🗓️ Contexte Source : The Register — Publié le 15 mai 2026. Cisco a publié un avis de sécurité d’urgence concernant une vulnérabilité de sévérité maximale affectant ses produits Cisco Catalyst SD-WAN Controller (anciennement vSmart) et Cisco Catalyst SD-WAN Manager (anciennement vManage). 🔴 Vulnérabilité CVE-2026-20182 — Score CVSS : 10.0 (critique) Affecte tous les types de déploiement des deux composants Cause : mécanisme d’authentification par peering défaillant Permet à un attaquant non authentifié à distance de contourner l’authentification et d’obtenir des privilèges administrateur sur le système affecté Une fois authentifié, l’attaquant peut émettre des commandes NETCONF arbitraires, permettant : vol de données, interception de trafic, manipulation des règles de pare-feu, mise hors service du réseau 🕵️ Découverte et exploitation Vulnérabilité découverte par Stephen Fewer et Jonah Burgess de Rapid7, signalée début mars 2026 Cisco a confirmé en mai 2026 que CVE-2026-20182 avait été exploitée en zero-day Aucune attribution de l’activité d’exploitation n’a été communiquée Aucune exploitation dans le cadre d’attaques ransomware n’a été signalée La découverte fait suite à l’investigation d’un précédent zero-day : CVE-2026-20127 (CVSS 10.0, février 2026), également un contournement d’authentification dans Cisco Catalyst SD-WAN Controller 🏛️ Réponse institutionnelle La CISA a ajouté CVE-2026-20182 à son catalogue Known Exploited Vulnerabilities (KEV) Les agences fédérales civiles (FCEB) ont 3 jours pour appliquer les correctifs — délai exceptionnellement court Cisco indique qu’aucun contournement (workaround) n’est disponible et recommande fortement l’application des correctifs 🔍 Indicateurs de compromission Cisco recommande d’auditer le fichier /var/log/auth.log pour détecter des entrées du type :

CyberVeille

CyberVeille.ch Apr 22

📢 Des surges d'activité réseau précèdent les divulgations CVE jusqu'à 39 jours à l'avance
📝 ## 🔍 Contexte

Publié le 20 avril 2026 par GreyNoise Intelligence, cet article présente les résultats d'une...
📖 cyberveille : https://cyberveille.ch/posts/2026-04-22-des-surges-d-activite-reseau-precedent-les-divulgations-cve-jusqu-a-39-jours-a-l-avance/
🌐 source : https://www.greynoise.io/blog/the-internet-changes-before-the-advisory-drops
#CVE_2026_0400 #CVE_2026_20127 #Cyberveille

Des surges d'activité réseau précèdent les divulgations CVE jusqu'à 39 jours à l'avance

🔍 Contexte Publié le 20 avril 2026 par GreyNoise Intelligence, cet article présente les résultats d’une étude empirique sur la corrélation entre les surges d’activité réseau observées par leurs capteurs et les divulgations ultérieures de vulnérabilités CVE. 📊 Méthodologie et données Sur une période de 103 jours, GreyNoise a analysé 147,8 millions de sessions réparties sur 276 tags spécifiques à des vendeurs, couvrant 18 fabricants d’équipements réseau. Parmi 104 événements de surge détectés, 68 ont précédé une CVE correspondant au vendeur ciblé, couvrant 33 vulnérabilités sur 16 familles de vendeurs. La validation statistique confirme que ce pattern n’est pas le fruit du hasard.

CyberVeille

The Threat Codex Feb 26

Active exploitation of Cisco Catalyst SD-WAN by UAT-8616
#CVE_2026_20127 #UAT_8616
https://blog.talosintelligence.com/uat-8616-sd-wan/

Active exploitation of Cisco Catalyst SD-WAN by UAT-8616

Cisco Talos is tracking the active exploitation of CVE-2026-20127, a vulnerability in Cisco Catalyst SD-WAN Controller, formerly vSmart, that allows an unauthenticated remote attacker to bypass authentication and obtain administrative privileges.

Cisco Talos Blog

CyberVeille.ch Feb 26

📢 Exploitation active de CVE-2026-20127 dans Cisco Catalyst SD‑WAN par l’acteur UAT‑8616
📝 Contexte: Cisco Talos signale une exploitation active visant Cisco Catalyst SD‑WAN Controller (ex‑vSmart), détaillant la vulnéra...
📖 cyberveille : https://cyberveille.ch/posts/2026-02-26-exploitation-active-de-cve-2026-20127-dans-cisco-catalyst-sd-wan-par-lacteur-uat-8616/
🌐 source : https://blog.talosintelligence.com/uat-8616-sd-wan/
#CVE_2026_20127 #Cisco_Catalyst_SD_WAN #Cyberveille

Exploitation active de CVE-2026-20127 dans Cisco Catalyst SD‑WAN par l’acteur UAT‑8616

Contexte: Cisco Talos signale une exploitation active visant Cisco Catalyst SD‑WAN Controller (ex‑vSmart), détaillant la vulnérabilité CVE-2026-20127, les modes opératoires de l’acteur « UAT‑8616 » et des pistes de détection et de chasse. • Vulnérabilité et impact. Une faille d’authentification (CVE-2026-20127) permet à un attaquant distant non authentifié de contourner l’authentification et d’obtenir des privilèges administratifs sur le contrôleur, comme compte interne à hauts privilèges (non‑root). Talos observe une exploitation active et remonte des traces d’activité depuis au moins 2023. L’acteur, UAT‑8616 (évalué hautement sophistiqué), a ensuite escaladé vers root via un downgrade logiciel, a exploité CVE-2022-20775, puis a restauré la version d’origine, obtenant l’accès root. Cette campagne s’inscrit dans la cible récurrente des équipements de bordure réseau des organisations à forte valeur, y compris les infrastructures critiques.

CyberVeille

decio Feb 26

Si vous administrez une infrastructure réseau utilisant Cisco Catalyst SD-WAN, une vulnérabilité critique actuellement exploitée sur Internet permet à un attaquant distant sans authentification d’obtenir un accès administrateur au système. Une exploitation réussie peut permettre de modifier la configuration réseau, d’espionner les communications ou de maintenir un accès discret à l’infrastructure.

Les investigations effectuées par Cisco Talos montrent que ces attaques sont menées par un acteur sophistiqué et que des compromissions ont été observées depuis au moins 2023, avec dans certains cas une élévation de privilèges jusqu’au contrôle complet du système après modification de la version logicielle.

Selon Cisco, un système SD-WAN peut être particulièrement exposé si :

le contrôleur SD-WAN est accessible depuis Internet
des ports sont ouverts vers l’extérieur
l’accès n’est pas limité aux adresses IP autorisées

Les éléments suivants peuvent indiquer qu’un système SD-WAN a été compromis :

une nouvelle connexion SD-WAN inconnue
un accès administrateur inattendu
des journaux système effacés ou incomplets
des mises à jour ou rétrogradations non planifiées

Cisco recommande de vérifier certains journaux système pour détecter une compromission éventuelle.

Par exemple, dans le fichier /var/log/auth.log, une connexion SSH au compte vmanage-admin depuis une adresse IP inconnue peut être suspecte :

Accepted publickey for vmanage-admin from -adresse IP inconnue-

Dans ce cas, il faut vérifier que l’adresse IP correspond bien à un équipement SD-WAN autorisé (visible dans l’interface SD-WAN Manager → Devices → System IP).

PRODUITS CONCERNÉS

Cette vulnérabilité affecte :

Cisco Catalyst SD-WAN Controller
Cisco Catalyst SD-WAN Manager

Quel que soit le mode de déploiement :

Déploiement sur site (On-Premise)
Cisco Hosted SD-WAN Cloud
Cisco Hosted SD-WAN Cloud – Cisco Managed
Cisco Hosted SD-WAN Cloud – Environnement FedRAMP

ACTIONS RECOMMANDÉES

Application des mises à jour recommandée dès que possible
Surveillance des connexions et changements inhabituels recommandée
Restreindre l’accès réseau aux seuls équipements autorisés
Conserver les journaux sur un serveur externe si possible
Placer les contrôleurs derrière un firewall

🩹
👇
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa-EHchtZk

analyse Cisco Talos
👇
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa-EHchtZk

Détails Vulnérabilité critique CVE-2026-20127
👇
https://cve.circl.lu/vuln/CVE-2026-20127

Investigation conducted by intelligence partners identified that the actor likely escalated to root user via a software version downgrade

👇
https://www.cyber.gov.au/sites/default/files/2026-02/ACSC-led%20Cisco%20SD-WAN%20Hunt%20Guide.pdf

#CyberVeille #cve_2026_20127 #Cisco #vuln

Cisco Security Advisory: Cisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability

A vulnerability in the peering authentication in Cisco Catalyst SD-WAN Controller, formerly SD-WAN vSmart, and Cisco Catalyst SD-WAN Manager, formerly SD-WAN vManage, could allow an unauthenticated, remote attacker to bypass authentication and obtain administrative privileges on an affected system. This vulnerability exists because the peering authentication mechanism in an affected system is not working properly. An attacker could exploit this vulnerability by sending crafted requests to an affected system. A successful exploit could allow the attacker to log in to an affected Cisco Catalyst SD-WAN Controller as an internal, high-privileged, non-root user account. Using this account, the attacker could access NETCONF, which would then allow the attacker to manipulate network configuration for the SD-WAN fabric. Cisco has released software updates that address this vulnerability. There are no workarounds that address this vulnerability. This advisory is available at the following link:https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa-EHchtZk

Cisco