Cisco a publié le 7 octobre 2026 des mises à jour de sécurité pour huit groupes de vulnérabilités et failles affectant Cisco License On-Prem, anciennement connu sous le nom de Smart Software Manager On-Prem (SSM On-Prem). La plus grave, CVE-2026-76482, obtient le score CVSS maximal de 10,0 et concerne une vérification incorrecte des signatures cryptographiques.
Cette faille est exploitable via le réseau et ne nécessite ni authentification ni interaction de l’utilisateur. D’autres vulnérabilités pourraient permettre à des attaquants de contourner l’authentification, d’accéder à des informations sensibles, d’exécuter des commandes ou de perturber l’application de gestion des licences.
Cisco a publié deux avis de sécurité couvrant ces vulnérabilités, avec des exigences différentes concernant les versions corrigées. Les administrateurs doivent vérifier leurs versions installées par rapport aux deux avis avant toute mise à niveau.
Huit vulnérabilités de Cisco License On-Prem divulguées
L’avis de renforcement de la sécurité d’octobre de Cisco recense quatre classes de vulnérabilités découvertes lors de tests de sécurité internes.
Chaque classe possède un identifiant CVE, dont le score CVSS reflète le problème sous-jacent le plus grave de la catégorie :
- CVE-2026-76482 (CVSS 10,0) : Vérification incorrecte d’une signature cryptographique.
- CVE-2026-76480 (CVSS 9,8) : Absence d’authentification pour une fonction critique.
- CVE-2026-76483 (CVSS 9,1) : Protection insuffisante des identifiants.
- CVE-2026-76484 (CVSS 8,8) : Contrôle incorrect de la génération de code, susceptible d’autoriser une injection de code.
Cisco a indiqué que ses ingénieurs avaient découvert ces problèmes au moyen de tests de sécurité internes éprouvés, associés à des modèles d’IA de pointe.
L’entreprise a regroupé les résultats connexes par classe de vulnérabilité afin de rationaliser la divulgation et la correction. Les scores de gravité ne s’appliquent pas nécessairement à chaque faiblesse prise individuellement au sein de chaque groupe.
Un deuxième avis de sécurité de Cisco, également publié le 7 octobre, détaille quatre vulnérabilités supplémentaires affectant l’interface web d’administration et les API du produit :
- CVE-2026-20328 : Vulnérabilité permettant de réinitialiser arbitrairement le mot de passe d’un compte, ce qui pourrait autoriser un accès non autorisé.
- CVE-2026-76454 : Vulnérabilité d’une API ne nécessitant aucune authentification, qui pourrait permettre l’écriture de fichiers arbitraires ou provoquer un déni de service.
- CVE-2026-76437 : Faille d’injection de commandes susceptible de permettre à un attaquant authentifié d’exécuter des commandes du système d’exploitation.
- CVE-2026-76452 : Vulnérabilité d’injection SQL susceptible de permettre à un attaquant authentifié d’exécuter des requêtes malveillantes sur la base de données.
Cisco attribue à Gabriele Paris, du NATO Cyber Security Centre, le signalement de CVE-2026-20328, CVE-2026-76437 et CVE-2026-76452. Trung Nguyen, de CyStack, a signalé CVE-2026-76454.
Aucun des deux avis ne fait état d’une exploitation malveillante connue, et Cisco indique qu’aucune solution de contournement ne permet de remédier aux vulnérabilités.
Quelles versions de Cisco sont concernées ?
Les deux avis couvrent Cisco License On-Prem, quelle que soit la configuration logicielle. Les installations plus anciennes utilisant le nom Smart Software Manager On-Prem sont également concernées.
L’avis de renforcement de la sécurité précise les exigences de correction suivantes :
- Version 10-202608 et antérieure de la série 10 : Mettre à niveau vers la version 10-202609 ou une version corrigée ultérieure.
- Version 9-202601 et antérieure : Migrer vers une version corrigée.
- Version 10-202609 : Non vulnérable aux problèmes de renforcement de la sécurité.
L’avis concernant le web et les API présente un tableau différent des versions corrigées. Il indique que 10-202608 est la première version corrigée pour les anciennes versions concernées de la série 10 et demande aux installations plus anciennes de la série 9 d’effectuer une migration.
Comme la version 10-202609 corrige les problèmes de renforcement de la sécurité et est également indiquée comme non vulnérable dans l’avis complémentaire, il s’agit de la version corrigée à privilégier pour les administrateurs passant à la version actuelle de la série 10. Les voies de mise à niveau doivent néanmoins respecter les notes de version de Cisco.
Cisco a confirmé que le produit distinct Cisco Smart Licensing Utility n’est pas affecté par les vulnérabilités liées au renforcement de la sécurité. L’API Smart Licensing Utility au nom similaire, décrite dans l’avis complémentaire, fait partie de l’application License On-Prem concernée et ne signifie pas que l’utilitaire autonome est vulnérable.
Les administrateurs doivent identifier précisément le produit et la version installée avant de déterminer l’exposition.
Ce que les administrateurs doivent faire
Cisco recommande de mettre à niveau les logiciels ou de migrer vers une version corrigée. Les organisations qui utilisent d’anciennes versions de SSM On-Prem devront peut-être suivre une procédure de migration plutôt que d’installer une mise à jour classique.
Les équipes de sécurité et informatiques doivent :
- Inventorier les installations. Identifier les instances de Cisco License On-Prem et de l’ancien SSM On-Prem, en indiquant leurs versions logicielles exactes.
- Vérifier les correctifs applicables. Examiner les deux avis de Cisco et confirmer la procédure de mise à niveau ou de migration pour chaque installation.
- Planifier la correction.Obtenir le logiciel corrigé approprié et suivre les instructions de mise à niveau publiées par Cisco.
- Vérifier le résultat.Confirmer la version installée après la modification et contrôler l’accès à l’interface d’administration de l’application.
Cisco avait également corrigé en avril une vulnérabilité antérieure d’exécution de commandes dans SSM On-Prem, CVE-2026-20160. Cette faille avait obtenu un score CVSS de 9,8 et pouvait permettre à des attaquants non authentifiés d’exécuter des commandes du système d’exploitation avec des privilèges root.
Pour les organisations qui gèrent plusieurs vulnérabilités d’infrastructure, les outils de gestion des vulnérabilités peuvent contribuer à tenir à jour l’inventaire des systèmes concernés, tandis que les processus de gestion des correctifs aident à suivre la remédiation.
La priorité immédiate pour les déploiements de Cisco License On-Prem consiste à confirmer la version installée et à suivre les recommandations applicables concernant les versions corrigées. Cisco a publié des mises à jour, mais aucun des deux avis d’octobre ne fournit de solution de contournement aux organisations qui restent sur un logiciel vulnérable.
À lire aussi : Dell a récemment divulgué deux vulnérabilités de stockage de gravité maximale susceptibles d’exposer les identifiants des administrateurs et de compromettre les systèmes de stockage d’entreprise.