Cisco a publié 14 avis de sécurité couvrant 34 CVE le 21 octobre 2026. Les correctifs concernent Cisco Expressway Series, Snort 3, les produits Unified Communications, IOS XR sur les routeurs ASR 9000 et le module Secure Firewall Posture de Cisco Secure Client.
Le problème le plus grave est la CVE-2026-76466, une vulnérabilité de Cisco Expressway Series classée Critique, avec un score CVSS de base de 9,8. Une exploitation réussie pourrait permettre à un attaquant d'exécuter des commandes avec les privilèges root sur un appareil concerné.
Le préavis PSIRT de Cisco a été publié pour la première fois le 14 octobre 2026 à 16:00 GMT, puis finalisé en version 1.1 le 21 octobre à 16:09 GMT. Cisco recommande vivement d'installer le logiciel corrigé indiqué dans chaque avis produit.
La faille Expressway peut mener à une exécution de commandes en root
Selon le reportage de SecurityWeek sur les conclusions de Cisco, la CVE-2026-76466 résulte de l'utilisation de cookies persistants combinée à une validation insuffisante du certificat client dans certaines configurations.
Un attaquant pourrait se connecter au service de base de données et invoquer certaines commandes d'appel de procédure à distance. Une attaque réussie permettrait d'exécuter des commandes arbitraires en root sur le système d'exploitation sous-jacent de l'appareil.
SecurityWeek indique que le correctif est disponible dans la version X15.5.20 d'Expressway Series. Le média précise aussi que cette version corrige les huit vulnérabilités de la CVE-2026-76490 à la CVE-2026-76497. Son récit ne distingue toutefois pas clairement la couverture de cette version pour l'exécution de code à distance de celle des problèmes de durcissement regroupés.
Cisco a attribué à l'avis de durcissement Expressway regroupant huit CVE la note Élevée, avec un score CVSS de base de 8,6. Un autre problème, de divulgation d'informations, la CVE-2026-76435, est classé Moyen avec un score de 5,3.
Les vulnérabilités de Snort 3 incluent l'exécution de commandes et des interruptions d'inspection
Treize CVE touchent Snort 3 ou les produits Cisco qui intègrent son moteur de détection. Cisco a classé Critique l'avis de durcissement de Snort 3 regroupant quatre CVE, avec un score de 9,0 :
- CVE-2026-20043 : écriture hors limites, classée CWE-787. Sa fiche NVD indique un score CVSS 3.1 de 9,0 et décrit une attaque accessible depuis le réseau, à complexité élevée, ne nécessitant ni privilèges ni interaction de l'utilisateur.
- CVE-2026-20236 : calcul incorrect, CWE-682. Son score NVD individuel est de 7,5.
- CVE-2026-20291 : gestion inappropriée des privilèges, CWE-269. Son score NVD individuel est de 7,8 et suppose un attaquant local disposant de privilèges faibles.
- CVE-2026-20356 : consommation de ressources non contrôlée, CWE-400. Son score NVD individuel est de 7,5.
Ces scores NVD individuels ne doivent pas être confondus avec la note de 9,0 que Cisco attribue à l'avis de durcissement combiné.
Un autre problème notable de Snort, la CVE-2026-76524, porte la note Élevée et un score de 7,8. Il touche le socket du canal de contrôle de Snort 3 et nécessite un attaquant local authentifié disposant de faibles privilèges. Comme le socket n'authentifie pas l'utilisateur local qui s'y connecte, l'exploitation pourrait permettre d'exécuter des commandes avec les droits de l'utilisateur du processus Snort 3 et d'accéder à la mémoire de ce processus.
Plusieurs failles accessibles à distance peuvent en revanche interrompre l'inspection des paquets, en forçant le redémarrage du moteur de détection Snort 3 :
- CVE-2026-76489 concerne une gestion incomplète des erreurs et une mémoire non libérée pendant le traitement des fichiers. Un attaquant distant non authentifié pourrait déclencher cette condition en soumettant un volume important de fichiers.
- CVE-2026-20019 touche l'analyse des paquets NetFlow. Un paquet NetFlow UDP forgé, envoyé via une connexion établie, peut provoquer un déni de service.
- CVE-2026-20179 concerne l'analyse des paquets GRE et peut être déclenchée par un paquet GRE forgé.
Chacune de ces trois vulnérabilités porte un score CVSS de 5,8. Les autres avis Snort de Cisco couvrent les CVE-2026-20197, CVE-2026-20221, CVE-2026-20011, CVE-2026-20218 et CVE-2026-76445.
SecurityWeek indique que les problèmes de Snort 3 sont corrigés dans la version 3.12.4.0. Le média identifie aussi les implémentations Cisco concernées, dont Cyber Vision, CDFW, Meraki MX, CSA, Secure Firewall ASA, Secure FMC, Secure FTD et UTD pour IOS XE.
L'avis Unified Communications affiche un score de 9,8
Cisco a classé Critique son avis de durcissement Unified Communications regroupant huit CVE, avec un score CVSS de base de 9,8. Il contient :
- CVE-2026-76473
- CVE-2026-76474
- CVE-2026-76475
- CVE-2026-76476
- CVE-2026-76477
- CVE-2026-76478
- CVE-2026-76479
- CVE-2026-76481
SecurityWeek décrit les trois premières comme liées à un contrôle inapproprié des ressources, à une authentification inappropriée et à une neutralisation insuffisante des entrées. La note Critique au niveau de l'avis s'applique à l'ensemble du groupe de huit CVE, et non aux trois seules entrées.
La liste des produits Unified Communications concernés, relevée par SecurityWeek, comprend Emergency Responder, Prime Collaboration Deployment, Unified Communications Manager, Unified Communications Manager IM & Presence Service, Unified Communications Manager Session Management Edition et Unity Connection.
Cisco a aussi publié un avis de gravité moyenne pour la CVE-2026-76487, une vulnérabilité de contrôle d'accès inapproprié dans Unified Communications Manager, avec un score de 5,3.
IOS XR et Secure Client reçoivent aussi des correctifs
Les deux CVE restantes touchent des domaines produits distincts :
| CVE | Produit et impact | Note Cisco | CVSS |
|---|---|---|---|
| CVE-2026-76505 | Logiciel IOS XR pour routeurs ASR 9000 ; déni de service impliquant des paquets IPv4 unicast | Élevée | 7,5 |
| CVE-2026-76462 | Module Secure Firewall Posture de Cisco Secure Client ; élévation de privilèges | Élevée | 5,5 |
Au total, les 34 CVE se répartissent en 13 pour Snort 3, 10 pour Expressway, neuf pour Unified Communications et deux pour IOS XR et Secure Client.
Recommandations de mise à niveau et état de l'exploitation
Le préavis de Cisco indique qu'aucun contournement n'est disponible au niveau du préavis, et invite les clients à passer à la version corrigée précisée dans chaque avis individuel. Cette déclaration ne permet pas d'établir si chacun des avis sous-jacents a le même statut en matière de contournement.
SecurityWeek indique que Cisco n'avait pas connaissance d'une exploitation dans la nature. Les notes CVSS Critique et Élevée décrivent un impact technique potentiel ; elles ne prouvent pas que des attaquants exploitent actuellement ces failles.
Les administrateurs doivent d'abord repérer les déploiements Expressway exposés et vérifier si les conditions de configuration liées à la CVE-2026-76466 s'appliquent. Les exploitants de Snort doivent aussi prioriser le passage à 3.12.4.0, en particulier lorsqu'un redémarrage du moteur suspendrait l'inspection des paquets. Les autres produits Cisco doivent être rapprochés de leurs avis respectifs avant d'installer la version corrigée désignée.
