:quality(90):no_upscale()){kind=logo}
Vulnérabilité de l'Identity Services Engine de Cisco : la plateforme qui contrôle l'accès au réseau est devenue le point d'entrée des pirates
STATUT : Vulnérabilité « zero-day » activement exploitée GREVEITÉ : 7/10 PUBLIC CIBLE : Responsables de la sécurité au sein des administrations publiques, du secteur de la défense et des infrastructures critiques
12 octobre 2026
·Blog
·Communications sécurisées
:quality(90):no_upscale())
Une faille dans l'Identity Services Engine de Cisco, la plateforme chargée de déterminer quels appareils et utilisateurs ont accès à un réseau, a permis à des pirates de contourner complètement ce processus de décision et d'obtenir le même niveau de confiance « root » que la plateforme est censée garantir. Cisco a confirmé que des clients réels avaient déjà été compromis avant la mise à disposition d'un correctif, sans qu'il soit possible de réduire le risque dans l'intervalle.
Que s'est-il passé ?
Le système mis en place pour déterminer qui pouvait accéder au réseau est devenu le vecteur d'attaque.
Cisco Identity Services Engine, ou ISE, est la plateforme sur laquelle s'appuient de nombreux réseaux gouvernementaux et d'entreprise pour appliquer les politiques 802.1X et RADIUS, c'est-à-dire les règles qui déterminent quels appareils et quels utilisateurs sont autorisés à se connecter, ainsi que les ressources auxquelles ils ont accès une fois connectés.1 Une vulnérabilité révélée ce mois-ci, CVE-2026-76460, permettait à un attaquant distant non authentifié de contourner entièrement cette application des règles et d’obtenir un contrôle de niveau root sur la plateforme elle-même.1,2 Cet accès bénéficiait du même niveau de confiance que celui que le réseau avait délégué à l’ISE pour chaque appareil et utilisateur connecté. Il ne s’agissait pas d’une compromission limitée à un seul terminal.
L'équipe de sécurité de Cisco a déclaré avoir découvert cette exploitation active à la suite d'un dossier de support client, ce qui signifie que de véritables organisations avaient déjà été compromises avant que Cisco n'ait mis au point un correctif prêt à être distribué.3 Une fois à l'intérieur, un attaquant disposant de privilèges root pouvait modifier ou effacer les journaux de la plateforme elle-même, supprimant ainsi les preuves sur lesquelles une équipe de sécurité s'appuie normalement pour détecter et enquêter sur l'intrusion.2 Cisco a confirmé qu'il n'existait aucune solution de contournement pour les organisations qui ne peuvent pas appliquer immédiatement le correctif. La seule façon de réduire le risque est de procéder à la mise à jour.1
La CISA a ajouté cette vulnérabilité à son catalogue des « vulnérabilités connues pour être exploitées » le 16 septembre 2026, accordant aux agences civiles fédérales un délai de trois jours pour appliquer le correctif ; cette divulgation est intervenue un jour après que Cisco eut confirmé l’existence d’une autre faille activement exploitée dans sa passerelle de messagerie sécurisée (Secure Email Gateway).1,4 Deux failles activement exploitées, présentant un niveau de gravité maximal ou quasi maximal, touchant l’infrastructure centrale en l’espace de 48 heures, devraient soulever une question plus large. Dans quelle mesure la posture de sécurité d’une organisation repose-t-elle sur la confiance accordée à un petit nombre de systèmes dotés de privilèges élevés pour qu’ils s’autocontrôlent correctement, sans vérification indépendante ?
Il ne s'agit pas non plus d'un incident isolé pour ISE en particulier. La plateforme a désormais subi deux années consécutives de vulnérabilités de gravité maximale, avec deux failles distinctes notées CVSS 10,0 révélées en 2025 et neuf autres failles, dont trois critiques, regroupées dans cette seule mise à jour.4 Une plateforme qui obtient à plusieurs reprises le score de gravité le plus élevé sur Internet n’est pas une plateforme dont les décisions d’accès devraient être considérées comme fiables sans qu’il existe un moyen indépendant de les vérifier.
Ce qu'ils ont découvert
Conclusion | Ce que cela signifie | Conséquence opérationnelle | Question ouverte |
Cette vulnérabilité permettait à un pirate de contourner totalement les mécanismes de contrôle d'accès de Cisco ISE et d'obtenir le même niveau de confiance « root » que la plateforme n'accorde normalement qu'après avoir vérifié un appareil ou un utilisateur. | La sécurité d'un contrôle d'accès dépend entièrement de la robustesse de la plateforme qui le met en œuvre, et lorsque cette plateforme peut elle-même être contournée, toutes les décisions d'accès qu'elle a prises en aval sont remises en cause. | Les organisations ne peuvent pas considérer le fait qu’« un appareil ait franchi le contrôle d’accès au réseau » comme une preuve de quoi que ce soit dès lors qu’il a été démontré que ce point de contrôle lui-même pouvait être contourné. | Comment une équipe de sécurité pourrait-elle savoir si un appareil a obtenu l'accès par ce contournement plutôt que par le processus de vérification habituel de Cisco, sans disposer d'un registre distinct et indépendant permettant de vérifier ces informations ? |
Une exploitation réussie a permis aux pirates d'obtenir un accès de niveau root, y compris la possibilité de modifier ou d'effacer les journaux de la plateforme elle-même. | Les organisations chargées de la gestion du système, qui auraient normalement dû vérifier ce qui s'était passé lors d'un incident, ne pouvaient pas être considérées comme des sources fiables dans le cadre de cette intrusion spécifique. | La gestion des incidents ne peut pas se fonder uniquement sur les propres registres du système compromis ; elle nécessite une source d'information fiable et indépendante permettant de déterminer quels appareils ont effectivement eu accès au système et à quel moment. | Les organisations concernées conservent-elles des registres d'accès et de conformité en dehors de la plateforme de contrôle d'accès elle-même, afin qu'une enquête ne repose pas entièrement sur un système qu'un pirate aurait pu déjà altérer ? |
C'est la deuxième année consécutive que Cisco ISE présente une vulnérabilité de gravité maximale, et cette version à elle seule regroupe neuf failles ISE, dont trois sont critiques. | Une plateforme unique assurant le contrôle d'accès à l'ensemble d'un réseau constitue une cible récurrente, et non un simple problème ponctuel à résoudre par un correctif. | Les organisations qui vérifient l'accès et la conformité uniquement par le biais de la plateforme ciblée ne disposent d'aucun contrôle indépendant lorsque cette plateforme est elle-même compromise. | Une vérification continue et indépendante de la conformité des appareils aurait-elle permis de réduire le délai entre la compromission et la détection dans ce cas précis ? |
Pourquoi est-ce important ?
Vieille Assomption | Réalité actuelle | Réponse de BlackBerry |
Une fois qu'un appareil ou un utilisateur a franchi le contrôle d'accès au réseau, cet accès peut être considéré comme fiable pendant toute la durée de la session, sans autre vérification. | La plateforme chargée de cette vérification peut elle-même être entièrement contournée, ce qui signifie qu'un appareil pourrait obtenir l'accès sans jamais avoir légitimement satisfait au contrôle que les organisations supposent qu'il a réussi. | BlackBerry®UEM vérifie en permanence la conformité des appareils plutôt que de considérer une décision unique de contrôle d'accès comme définitive ; ainsi, le statut d'un appareil est réévalué en continu plutôt que d'être considéré comme fiable indéfiniment après un seul contrôle. |
Les journaux de la plateforme de contrôle d'accès constituent une trace fiable des événements survenus sur le réseau. | L'exploitation de l'ISE au niveau racine a permis aux attaquants de modifier ou d'effacer ces journaux, supprimant ainsi les preuves sur lesquelles une équipe de sécurité se pencherait normalement en premier lieu. | Une surveillance indépendante et continue de la conformité permet de consigner l'état des appareils en dehors de la plateforme de contrôle d'accès elle-même ; ainsi, une enquête ne se limite pas aux preuves qu'un pirate aurait pu déjà avoir la possibilité d'effacer. |
Un délai de correction de trois jours constitue un délai de réaction suffisant pour une vulnérabilité critique liée au contrôle d'accès. | Cisco a confirmé que des pirates exploitaient déjà cette faille avant même que le correctif ne soit disponible, ce qui signifie que l'exposition réelle a commencé bien avant que le délai de mise en conformité ne commence à courir. | La vérification continue de l'accès permet de signaler immédiatement un système à haut risque et non mis à jour dès que les conditions changent, plutôt que d'attendre une analyse programmée ou une échéance externe pour mettre en évidence ce qui constitue déjà un risque réel. |
Mesures recommandées
IMMÉDIAT | Vérifiez que toutes les instances Cisco ISE et ISE-PIC ont bien été mises à niveau vers une version corrigée et considérez toute instance accessible depuis Internet et non mise à jour avant le 16 septembre comme une compromission potentielle, et non comme un simple oubli de mise à jour. |
IMMÉDIAT | Il convient de recouper les journaux d'accès propres à ISE avec un enregistrement indépendant de l'activité des appareils et des utilisateurs, car l'exploitation au niveau « root » permettait notamment de falsifier les journaux de la plateforme. |
À COURT TERME | Réduire la dépendance vis-à-vis d'une plateforme unique de contrôle d'accès en tant que seule source fiable d'informations sur les utilisateurs présents sur le réseau et mettre en place une couche de vérification indépendante. |
À COURT TERME | Passer à un modèle continu pour la conformité des appareils et la vérification des accès, plutôt qu’à un contrôle ponctuel effectué une seule fois lors de la connexion. |
EN COURS | Suivez la fréquence à laquelle les plateformes de contrôle d'accès et d'identité dont dépend votre organisation nécessitent des correctifs d'urgence, et considérez toute tendance récurrente comme un signal indiquant qu'il faut mettre en place une vérification indépendante, et non pas simplement appliquer les correctifs plus rapidement. |
La sécurité doit s'appliquer à l'ensemble de la pile logicielle de l'appareil
Le contrôle d’accès repose sur la concentration de la confiance dans un petit nombre de systèmes conçus pour prendre cette décision correctement à chaque fois. C’est précisément cette concentration qui rend ces systèmes attractifs pour les attaquants : il suffit de compromettre la plateforme chargée de la prise de décision pour que tous les appareils qu’elle a jamais approuvés deviennent immédiatement suspects. Une stratégie de sécurité qui repose entièrement sur l’autocontrôle d’un seul système n’a aucun moyen de détecter quand ce système lui-même a été compromis. C’est précisément pour parer à cette éventualité qu’il existe une vérification continue et indépendante de la conformité des appareils et des accès, permettant de détecter ce que le système de contrôle d’accès lui-même n’est plus en mesure de signaler de manière fiable.
Références :
(The Hacker News, article consacré à la faille CVE-2026-76460, 17 septembre 2026).
Exploitation active d'une vulnérabilité dans Cisco Identity Services Engine (Agence de cybersécurité de Singapour, avis concernant l'exploitation active de la vulnérabilité de Cisco ISE, 21 septembre 2026).
Cisco révèle une nouvelle faille « zero-day » exploitée, cette fois-ci notée 10 sur 10 (The Register, article consacré aux révélations successives de Cisco concernant des failles « zero-day », 17 septembre 2026).
Cisco corrige une faille « zero-day » dans Perfect-10 ISE ainsi que 9 autres failles [2026] (Tech Insider, analyse de la faille CVE-2026-76460 et de l'historique des vulnérabilités de Cisco ISE, 22 septembre 2026).
:quality(90):no_upscale())