Quand un Pare-feu Devient le Point d’Entrée
Le 4 mars 2026, Cisco a publié un avis de sécurité d’urgence pour CVE-2026-20131, une vulnérabilité critique de désérialisation non sécurisée dans son logiciel Secure Firewall Management Center (FMC). La faille a reçu le score CVSS maximal de 10.0 : un attaquant non authentifié pouvait exécuter du code Java arbitraire en tant que root sur l’appliance FMC en envoyant une seule requête HTTP forgée à son interface de gestion web.
L’avis est arrivé avec des semaines de retard. Les recherches de l’équipe Amazon threat intelligence, menées à l’aide de son réseau mondial de pots de miel MadPot, ont révélé que le groupe de ransomware Interlock exploitait CVE-2026-20131 en tant que zero-day depuis le 26 janvier 2026 — une fenêtre de 36 jours pendant laquelle aucun correctif n’existait et la plupart des défenseurs ignoraient la présence de la vulnérabilité.
CISA a ajouté CVE-2026-20131 à son catalogue des vulnérabilités exploitées connues (KEV) le 19 mars, imposant à toutes les agences fédérales américaines de corriger la faille avant le 9 avril 2026.
Anatomie de CVE-2026-20131 : Désérialisation au Niveau Root
La vulnérabilité réside dans l’interface de gestion web de Cisco FMC. La plateforme traite des objets Java sérialisés reçus via son API de gestion HTTP. CVE-2026-20131 existe parce que le FMC désérialise les flux d’octets Java fournis par l’utilisateur sans validation adéquate, permettant à un attaquant d’injecter un objet sérialisé malveillant qui déclenche l’exécution de code arbitraire.
Cisco attribue à la faille un score de 10.0 sur CVSS 3.1 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Chaque métrique est à son niveau le plus critique : accessible par le réseau, complexité faible, aucune authentification, aucune interaction utilisateur, et un impact qui s’étend au-delà du FMC lui-même à toutes les appliances pare-feu gérées.
La désignation « Scope: Changed » est déterminante. Cisco FMC est la plateforme de gestion centrale des appareils Firepower Threat Defense (FTD). Il stocke les politiques de pare-feu, les cartes de topologie réseau, les journaux d’événements de sécurité, les identifiants pour l’intégration Active Directory et les configurations VPN. Un accès root au FMC donne à l’attaquant une carte complète du réseau cible et la capacité de modifier les règles de pare-feu — lui remettant les clés de l’infrastructure que l’appliance était censée protéger.
Cisco a confirmé qu’il n’existe aucune solution de contournement. La seule remédiation est l’application du correctif. Restreindre l’accès à l’interface web du FMC aux réseaux de gestion de confiance réduit la surface d’attaque mais n’élimine pas la vulnérabilité. Les versions affectées couvrent 6.4.0, 7.0.x à 7.7.x et 10.0.0.
Interlock : Le Groupe de Ransomware Derrière la Campagne
Interlock est apparu en septembre 2024 et a depuis revendiqué plus de 60 victimes en Amérique du Nord et en Europe. Contrairement à la plupart des opérateurs de ransomware, Interlock ne gère pas de programme ransomware-as-a-service (RaaS) — il opère de manière indépendante, développant ses propres outils de chiffrement pour Windows et Linux, et maintient un site de fuite privé nommé « Worldwide Secrets Blog » pour faire pression sur les victimes par double extorsion.
Le groupe cible systématiquement les secteurs où la perturbation opérationnelle incite au paiement de la rançon. Le secteur de la santé est une cible récurrente : en 2025, Interlock était responsable de la violation de données de DaVita en avril (compromettant les données de 2,7 millions d’individus du prestataire de dialyse rénale) et de l’attaque contre Kettering Health en mai (perturbant 14 hôpitaux et plus de 120 établissements ambulatoires dans l’Ohio, avec des dizaines de poursuites judiciaires pour retards de soins). Le groupe a également frappé le Texas Tech University System et la ville de Saint Paul, Minnesota.
Les méthodes d’accès initial d’Interlock ont évolué en trois phases documentées. Les premières campagnes utilisaient des téléchargements furtifs depuis des sites légitimes compromis. Dès février 2025, le groupe a ajouté l’ingénierie sociale ClickFix — en usurpant l’identité de logiciels de connectivité distante comme FortiClient VPN et Cisco AnyConnect. En juillet 2025, CISA et le FBI ont publié un avis conjoint #StopRansomware avertissant qu’Interlock avait amélioré ses malwares, incluant un cheval de Troie d’accès à distance personnalisé NodeSnake et, plus récemment, une souche de malware générée par IA nommée Slopoly.
L’exploitation de CVE-2026-20131 marque une escalade significative des capacités. L’utilisation d’un zero-day dans la plateforme phare de gestion de pare-feu d’un grand éditeur de sécurité place Interlock à un niveau supérieur par rapport aux groupes qui dépendent de vulnérabilités connues et de courtiers d’accès standard.
Publicité
Déroulement de l’Attaque
Les équipes Amazon threat intelligence ont reconstitué la campagne après la divulgation par Cisco le 4 mars. À l’aide de MadPot — le réseau mondial de serveurs honeypot d’Amazon — les chercheurs ont identifié une activité d’exploitation remontant au 26 janvier 2026. Une erreur de sécurité opérationnelle des opérateurs d’Interlock — un serveur d’infrastructure mal configuré — a exposé l’ensemble de la boîte à outils d’attaque du groupe.
La chaîne d’attaque observée se déroule comme suit :
- Exploitation initiale : Des requêtes HTTP contenant des objets Java sérialisés malveillants sont envoyées à l’interface de gestion web du FMC. En cas de succès, le FMC compromis effectue une requête HTTP PUT vers un serveur contrôlé par l’attaquant, confirmant la compromission.
- Livraison de la charge utile : Des commandes ordonnent au FMC compromis de télécharger un binaire ELF depuis un serveur distant hébergeant des outils supplémentaires d’Interlock.
- Énumération du réseau : Des scripts PowerShell cartographient systématiquement l’environnement Windows de la victime — collectant les détails du système d’exploitation, les informations matérielles, les services actifs, les logiciels installés, la configuration de stockage et les données de navigateur sur de multiples machines.
- Accès persistant : Des chevaux de Troie d’accès à distance personnalisés écrits en JavaScript et Java maintiennent la communication C2, permettant l’exécution de commandes, les transferts de fichiers et l’exfiltration chiffrée de données.
- Évasion : Un script Bash transforme les serveurs Linux compromis en proxys inverses HTTP qui redirigent le trafic vers des systèmes contrôlés par l’attaquant tout en effacant les journaux toutes les cinq minutes, rendant l’analyse forensique extrêmement difficile.
- Déploiement du ransomware : Après l’exfiltration des données, Interlock déploie ses chiffreurs personnalisés dans l’environnement de la victime, ajoutant l’extension `.interlock` aux fichiers chiffrés et déposant des notes de rançon redirigeant les victimes vers un portail de négociation Tor.
Amazon a confirmé que l’infrastructure AWS et les charges de travail des clients n’étaient pas impliquées dans la campagne.
Le Problème Structurel : Les Appliances de Sécurité Comme Surface d’Attaque
CVE-2026-20131 appartient à une catégorie croissante de vulnérabilités qui sapent le modèle traditionnel de sécurité périmétrique : les failles critiques dans les appliances de sécurité elles-mêmes. Les pare-feu, les passerelles VPN et les plateformes de gestion se situent à la frontière du réseau, traitent des données non fiables et — en cas de compromission — offrent aux attaquants un point d’observation privilégié avec accès aux politiques de sécurité, aux journaux d’événements et aux identifiants stockés.
La tendance est constante depuis trois ans. Ivanti Connect Secure a subi de multiples zero-days exploités par des acteurs étatiques en 2024 et 2025. Palo Alto Networks a corrigé CVE-2024-3400, une injection de commande dans GlobalProtect exploitée comme zero-day. Fortinet a remédié à de multiples failles critiques de contournement d’authentification entre 2023 et 2025. Le CVE-2023-4966 de Citrix NetScaler (« Citrix Bleed ») a été exploité à grande échelle par des groupes de ransomware.
Le problème de l’exposition des interfaces de gestion persiste en raison de la commodité opérationnelle (les administrateurs souhaitant un accès distant), de la migration vers le cloud (les interfaces de gestion placées dans des segments accessibles depuis le cloud) et de la dépendance au VPN (si le VPN est compromis, l’interface de gestion derrière lui l’est aussi).
Pour les organisations de santé, le problème est aggravé par des équipes informatiques en sous-effectif, des environnements cliniques complexes mêlant systèmes modernes et anciens, et le coût élevé des fenêtres de maintenance susceptibles de perturber les soins aux patients. Interlock a démontré à plusieurs reprises sa volonté d’exploiter cette situation.
Répondre à CVE-2026-20131
Les organisations utilisant Cisco FMC doivent traiter cette situation comme une urgence :
- Appliquer le correctif immédiatement. Installez la mise à jour du 4 mars 2026. Il n’existe aucune solution de contournement.
- Restreindre l’accès de gestion. Déplacez l’interface web du FMC vers un VLAN de gestion dédié accessible uniquement depuis les postes de travail d’administration autorisés.
- Effectuer un triage forensique. Examinez les journaux du FMC du 26 janvier au 4 mars pour détecter des requêtes HTTP POST anormales, des exécutions de processus inattendues et des modifications non autorisées des politiques de pare-feu.
- Auditer Active Directory. Recherchez les nouveaux comptes administrateurs, les modifications d’appartenance aux groupes, les anomalies de tickets Kerberos et les connexions RDP inattendues.
- Vérifier l’intégrité des sauvegardes. Interlock cible spécifiquement l’infrastructure de sauvegarde. Confirmez que vos sauvegardes sont intactes et récupérables.
- Déployer la surveillance d’intégrité. La surveillance de l’intégrité des fichiers (FIM) sur les appliances FMC peut détecter les modifications non autorisées du système de fichiers indiquant une activité post-exploitation.
Questions Fréquemment Posées
Qu’est-ce qui rend CVE-2026-20131 si dangereuse par rapport aux vulnérabilités typiques des pare-feu ?
Trois facteurs se combinent pour rendre cette faille exceptionnellement grave. Premièrement, la vulnérabilité ne nécessite aucune authentification et peut être exploitée à distance avec une seule requête HTTP. Deuxièmement, l’exploitation réussie accorde un accès root — non pas à un serveur ordinaire mais à la plateforme de gestion centrale qui contrôle l’ensemble du déploiement pare-feu Cisco d’une organisation, y compris les identifiants stockés et les cartes de topologie réseau. Troisièmement, la fenêtre d’exploitation zero-day de 36 jours signifiait que les organisations ne pouvaient pas se défendre contre des attaques dont elles ignoraient l’existence.
Comment Amazon a-t-il découvert la campagne Interlock exploitant cette vulnérabilité ?
Après la divulgation par Cisco le 4 mars 2026, l’équipe Amazon threat intelligence a commencé à enquêter en utilisant MadPot, son réseau mondial de serveurs honeypot conçus pour attirer et surveiller l’activité cybercriminelle. Une erreur de sécurité opérationnelle des opérateurs d’Interlock — un serveur d’infrastructure mal configuré — a exposé la boîte à outils complète du groupe, incluant sa chaîne d’attaque multi-étapes, ses chevaux de Troie d’accès à distance personnalisés, ses scripts de reconnaissance réseau et ses techniques d’évasion par effacement de journaux. Cela a permis à Amazon de retracer l’activité d’exploitation jusqu’au 26 janvier 2026.
Ce CVE est-il lié aux attaques précédentes d’Interlock contre des hôpitaux comme DaVita et Kettering Health ?
La violation de DaVita (avril 2025) et l’attaque contre Kettering Health (mai 2025) étaient des campagnes Interlock antérieures qui utilisaient des méthodes d’accès initial différentes, et non CVE-2026-20131. Cependant, elles démontrent un schéma constant : Interlock cible délibérément les organisations de santé parce que la perturbation opérationnelle des soins aux patients crée une pression maximale pour le paiement des rançons. La campagne CVE-2026-20131 représente une escalade des capacités — passant de l’ingénierie sociale et des vulnérabilités connues à l’exploitation zero-day d’infrastructures de sécurité d’entreprise.
Sources et lectures complémentaires
- Interlock Ransomware Exploits Cisco FMC Zero-Day CVE-2026-20131 for Root Access — The Hacker News
- Ransomware Gang Exploits Cisco Flaw in Zero-Day Attacks Since January — BleepingComputer
- Amazon Threat Intelligence: Interlock Ransomware Campaign Targeting Enterprise Firewalls — AWS Security Blog
- Cisco Firewall Vulnerability Exploited as Zero-Day in Interlock Ransomware Attacks — SecurityWeek
- CISA Adds CVE-2026-20131 to Known Exploited Vulnerabilities Catalog — CISA
- Cisco FMC Flaw Was Exploited by Interlock Weeks Before Patch — Help Net Security
