Cisco Secure Firewall est au cœur d’une campagne de ransomware exploitant activement la vulnérabilité critique CVE-2026-20131. Cette faille zero-day dans le Firewall Management Center (FMC) démontre comment les infrastructures de sécurité elles-mêmes deviennent des cibles prioritaires pour les groupes cybercriminels.
CVE-2026-20131 : une faille zero-day dans Cisco Secure Firewall
La vulnérabilité CVE-2026-20131 affecte le composant Firewall Management Center (FMC) de Cisco, un outil central de gestion des politiques de sécurité réseau. Exploitée en conditions réelles avant même la disponibilité d’un correctif, cette faille permet à un attaquant distant d’exécuter du code arbitraire avec des privilèges élevés sur l’appliance ciblée.
La CISA a émis une alerte urgente demandant un correctif immédiat, ajoutant cette CVE à son catalogue KEV (Known Exploited Vulnerabilities). Les organisations utilisant Cisco Secure Firewall doivent vérifier leur exposition sans délai.
Interlock : le groupe ransomware derrière l’exploitation
Le groupe de ransomware Interlock a été identifié comme l’un des principaux acteurs exploitant cette faille. Leur stratégie cible spécifiquement les équipements de sécurité périmétrique — pare-feux, VPN, appliances de gestion — car ces systèmes offrent un accès privilégié au réseau interne une fois compromis.
Cette approche s’inscrit dans une tendance croissante : les attaquants ne contournent plus la sécurité, ils la compromettent directement. Un pare-feu compromis donne un accès furtif et persistant au cœur du réseau, bien plus efficace qu’un simple phishing.
Pourquoi les appliances de sécurité sont des cibles de choix
- Privilèges élevés : ces systèmes opèrent avec des droits root ou administrateur
- Visibilité réseau : ils voient l’ensemble du trafic entrant et sortant
- Confiance implicite : les équipes SOC surveillent rarement leurs propres outils de surveillance
- Persistance : les redémarrages ou mises à jour sont moins fréquents que sur les postes de travail
Autres vulnérabilités critiques : AnythingLLM et Chrome
En parallèle, la faille CVE-2026-32626 (CVSS 9.6) dans l’application desktop AnythingLLM illustre les risques liés aux outils d’IA. Une configuration Electron non sécurisée permet une escalade XSS vers l’exécution de code à distance via des documents RAG empoisonnés. Les entreprises déployant des outils LLM locaux doivent auditer leurs configurations.
Google Chrome a également corrigé en urgence deux zero-days (CVE-2026-3909 et CVE-2026-3910) exploités en conditions réelles. La mise à jour vers Chrome 146 est impérative.
Recommandations pour protéger vos infrastructures
- Patcher immédiatement le Cisco FMC — vérifier si Cisco Security Cloud Control (SaaS) a appliqué le correctif automatiquement
- Auditer les logs FMC à la recherche de connexions suspectes ou d’activités administratives non autorisées
- Segmenter l’accès de gestion : le FMC ne doit jamais être exposé directement sur Internet
- Surveiller les équipements de sécurité comme n’importe quel actif critique — les intégrer au périmètre de supervision du SOC
- Mettre à jour Chrome, AnythingLLM et tous les outils exposés à des vulnérabilités actives
Conclusion
L’exploitation de Cisco Secure Firewall par le groupe Interlock confirme une réalité que les DSI et RSSI doivent intégrer : vos outils de sécurité sont aussi vulnérables que les systèmes qu’ils protègent. L’approche zero-trust doit s’appliquer à l’ensemble de l’infrastructure, y compris aux solutions de défense. Surveillez vos gardiens.