Cisco SD-WAN Zero-Day : comment UAT-8616 s’est caché pendant trois ans

Une intrusion de trois ans, un mois de réaction

Le 25 février 2026, Cisco Talos a publié un avis confirmant qu’une vulnérabilité zero-day critique dans Cisco Catalyst SD-WAN était activement exploitée depuis au moins 2023 par un acteur sophistiqué qu’il suit sous le nom d’UAT-8616. Le même jour, six agences de l’alliance Five Eyes ont publié un avis conjoint, et la CISA a émis la directive d’urgence 26-03 ordonnant aux agences fédérales d’agir sous quelques jours.

La vulnérabilité en question, CVE-2026-20127, porte le score CVSS maximal de 10.0. Elle affecte à la fois le Cisco Catalyst SD-WAN Controller (anciennement vSmart) et le SD-WAN Manager (anciennement vManage) — les composants d’orchestration centraux qui gouvernent l’ensemble des fabrics SD-WAN d’entreprise. Un écart de trois ans entre la première exploitation et la découverte en fait l’une des compromissions d’infrastructure critique les plus longues de mémoire récente.

La vulnérabilité : authentification de peering défaillante

CVE-2026-20127 est un contournement d’authentification dans le mécanisme d’authentification de peering utilisé par les composants de contrôle et de gestion Cisco Catalyst SD-WAN. Selon l’avis de sécurité de Cisco, la faille existe parce que « le mécanisme d’authentification de peering d’un système affecté ne fonctionne pas correctement ». Un attaquant distant non authentifié peut envoyer des requêtes forgées qui contournent les vérifications de confiance attendues entre les composants SD-WAN, obtenant l’accès en tant qu’utilisateur non-root à privilèges élevés.

Cet accès suffit pour atteindre l’interface NETCONF et manipuler les configurations de l’ensemble du fabric SD-WAN — y compris les politiques de routage, les règles de segmentation et les relations de peering. Dans une architecture SD-WAN centralisée, compromettre le contrôleur signifie potentiellement influencer chaque appareil de bordure qu’il gère.

Le score CVSS maximal de 10.0 reflète la convergence de facteurs les plus défavorables : l’attaque est exploitable via le réseau, ne nécessite aucune authentification, n’exige aucune interaction utilisateur, présente une faible complexité, et son impact s’étend au-delà du composant vulnérable lui-même à tous les appareils gérés dans le fabric.

La chaîne d’attaque : downgrade, escalade, restauration

UAT-8616 ne s’est pas appuyé uniquement sur CVE-2026-20127. Cisco Talos a confirmé que l’acteur de menace l’a systématiquement chaînée avec CVE-2022-20775, une vulnérabilité d’escalade de privilèges par traversée de chemin dans le logiciel Cisco SD-WAN, divulguée en 2022 avec un score CVSS de 7.8.

La chaîne d’attaque fonctionne comme suit :

1. CVE-2026-20127 — Contourner l’authentification sur le SD-WAN Controller/Manager, obtenant un accès non-root à privilèges élevés
2. Downgrade de version logicielle — Utiliser le mécanisme de mise à jour intégré pour rétrograder délibérément le logiciel du contrôleur vers une version vulnérable à CVE-2022-20775
3. CVE-2022-20775 — Exploiter la faille de traversée de chemin pour passer du contexte applicatif SD-WAN à un accès root complet sur le système d’exploitation sous-jacent
4. Restauration de version — Restaurer la version logicielle d’origine pour masquer les preuves du downgrade et de l’exploitation

Cette chaîne se distingue par sa sophistication anti-forensique. En restaurant la version logicielle après l’exploitation, UAT-8616 a éliminé l’un des indicateurs de compromission les plus évidents — une incohérence de version logicielle — rendant la détection considérablement plus difficile.

L’acteur de menace : UAT-8616

Cisco Talos évalue « avec une confiance élevée » qu’UAT-8616 est un acteur cyber hautement sophistiqué. L’avis n’attribue pas formellement la campagne à un État-nation spécifique, mais les caractéristiques opérationnelles — long temps de résidence, concentration sur les infrastructures critiques, objectifs de collecte plutôt que destructifs — sont cohérentes avec l’espionnage étatique.

Les preuves indiquent que la campagne remonte à au moins 2023, donnant à UAT-8616 environ trois ans d’accès avant la découverte. L’acteur a ciblé des secteurs d’infrastructure critique, exploitant l’accès root pour obtenir une visibilité sur le trafic réseau chiffré et les communications d’entreprise transitant par les environnements SD-WAN compromis.

La campagne s’inscrit dans une tendance plus large d’acteurs sophistiqués ciblant les équipements réseau de bordure. En 2024, la campagne Volt Typhoon a démontré des tactiques similaires, exploitant des vulnérabilités dans les équipements Fortinet, Ivanti et Cisco pour se pré-positionner dans les réseaux d’infrastructure critique. Les équipements réseau restent des cibles privilégiées car ils se situent à la frontière entre réseaux de confiance et non fiables, gèrent tout le trafic organisationnel et bénéficient d’une surveillance de sécurité bien moindre que les endpoints ou les charges de travail cloud.

Directive d’urgence CISA 26-03

La directive d’urgence 26-03 de la CISA, publiée le 25 février 2026, a imposé des délais échelonnés agressifs à toutes les agences fédérales civiles (FCEB) :

• 26 février 2026 — Inventorier tous les systèmes Cisco SD-WAN et rapporter à la CISA
• 27 février 2026 (17h00 ET) — Appliquer les correctifs fournis par Cisco à tous les systèmes affectés
• 23 mars 2026 — Fournir toutes les données syslog des équipements SD-WAN au Cloud Logging Aggregation Warehouse (CLAW) de la CISA

Le délai de correction de deux jours figure parmi les plus courts jamais imposés par la CISA. Pour contexte, la plupart des directives d’urgence accordent une à deux semaines pour la remédiation complète. Une directive supplémentaire a également été émise avec des recommandations de chasse aux menaces et de durcissement.

L’avis conjoint des six agences Five Eyes — CISA, NSA, NCSC (Royaume-Uni), ASD/ACSC (Australie), CCCS (Canada) et NCSC-NZ — a fourni des indicateurs de compromission détaillés, des recommandations de détection et des mesures d’atténuation. Les autorités australiennes de cybersécurité sont créditées de l’identification initiale ayant conduit à la divulgation coordonnée.

Pourquoi trois ans sans détection ?

Le temps de résidence de trois ans expose des faiblesses structurelles dans la façon dont les organisations surveillent l’infrastructure réseau.

Les équipements réseau sont un angle mort de détection. La sécurité d’entreprise a massivement investi dans la détection et réponse sur les endpoints (EDR) pour les serveurs et postes de travail, et dans la gestion de la posture de sécurité cloud (CSPM) pour les environnements cloud. Mais les équipements réseau — routeurs, contrôleurs SD-WAN, pare-feu — fonctionnent sous des systèmes d’exploitation propriétaires avec un support limité pour les agents de sécurité tiers. Leurs journaux enregistrent des événements de configuration, pas la télémétrie au niveau processus sur laquelle s’appuie l’EDR.

La complexité du SD-WAN masque les modifications malveillantes. Les plateformes SD-WAN impliquent une orchestration centralisée, des équipements de bordure distribués, des tunnels chiffrés et des changements de configuration fréquents dictés par les exigences de performance. Les modifications de configuration malveillantes se fondent parfaitement dans le volume élevé de changements opérationnels légitimes qui surviennent quotidiennement dans un déploiement SD-WAN de grande envergure.

Un patching lent de l’infrastructure réseau. CVE-2022-20775 a été divulguée en 2022, pourtant de nombreuses organisations ne l’avaient pas corrigée en 2023 lorsqu’UAT-8616 a commencé à la chaîner avec le zero-day. Les mises à jour firmware des équipements réseau nécessitent des fenêtres de maintenance, des tests de régression, des déploiements échelonnés et parfois un accès physique — un processus qui peut prendre des semaines ou des mois. D’ici 2026, Gartner projette que 70 % des entreprises auront implémenté le SD-WAN, faisant du défi de patching une préoccupation à l’échelle de l’industrie.

L’exposition du plan de gestion. Les contrôleurs SD-WAN doivent communiquer avec les équipements de bordure distribués, créant une pression pour rendre les interfaces de gestion accessibles via le réseau. Les organisations qui exposent leurs plans de gestion SD-WAN à l’internet — que ce soit intentionnellement pour l’administration à distance ou par inadvertance via des contrôles d’accès mal configurés — fournissent le chemin réseau dont les attaquants ont besoin.

Recommandations de durcissement

La campagne renforce la nécessité d’étendre les principes de confiance zéro à l’infrastructure réseau :

• Isoler le plan de gestion. Les interfaces du SD-WAN Controller et Manager ne doivent être accessibles que depuis des réseaux de gestion dédiés, jamais depuis l’internet ou les segments d’entreprise à usage général.
• Appliquer une authentification multicouche. Même si l’authentification applicative est contournée, les contrôles d’accès au niveau réseau et l’authentification multifacteur à la frontière de gestion peuvent limiter l’exposition.
• Surveiller la dérive de configuration. Déployer des outils automatisés qui comparent en permanence les configurations en cours d’exécution avec des baselines de référence connues et alertent sur les modifications non autorisées des modèles et politiques d’équipements.
• Accélérer le patching des équipements réseau. Établir une cadence régulière de mises à jour firmware, même si cela nécessite des fenêtres de maintenance planifiées. La chaîne CVE-2022-20775 démontre que les vulnérabilités « connues » non corrigées deviennent des multiplicateurs de force pour les zero-days.
• Chasser proactivement. Mener des chasses aux menaces périodiques spécifiquement ciblées sur l’infrastructure réseau en utilisant les indicateurs de compromission publiés dans l’avis Five Eyes et les recommandations supplémentaires de la CISA.

Sources et lectures complémentaires

• Active Exploitation of Cisco Catalyst SD-WAN by UAT-8616 — Cisco Talos Intelligence
• ED 26-03: Mitigate Vulnerabilities in Cisco SD-WAN Systems — CISA
• Cisco Security Advisory: Catalyst SD-WAN Controller Authentication Bypass — Cisco PSIRT
• CISA and Partners Release Guidance for Ongoing Global Exploitation of Cisco SD-WAN Systems — CISA
• Cisco SD-WAN Zero-Day CVE-2026-20127 Exploited Since 2023 — The Hacker News
• Five Eyes Urge Action as Cisco Zero-Day Attacks Uncovered — The Register
• CVE-2022-20775: Cisco SD-WAN Privilege Escalation — NVD
• Joint Advisory on Exploitation of SD-WAN Appliances — NSA/DoD