Cisco a révélé sept vulnérabilités de sécurité touchant les passerelles, commutateurs, points d'accès sans fil et caméras Meraki, dont une faille critique notée 9,6 sur l'échelle de gravité CVSS. Si des correctifs sont déjà disponibles pour plusieurs produits, certaines mises à jour de firmware ne sont pas attendues avant la fin octobre ou novembre.
Les vulnérabilités touchent six familles de produits Meraki, quelle que soit la configuration des appareils. Cisco indique qu'il n'existe aucune solution de contournement, laissant les administrateurs dépendre du firmware corrigé disponible pour chaque produit et chaque version logicielle.
L'avis de sécurité a été publié le 7 octobre 2026 et mis à jour le lendemain avec une version corrigée supplémentaire pour les appliances de sécurité MX. Cisco n'a signalé aucune exploitation malveillante connue de ces vulnérabilités.
Sept vulnérabilités Cisco Meraki obtiennent des scores allant jusqu'à 9,6
Selon l'avis de sécurité de Cisco, le problème le plus grave, CVE-2026-76464, relève de la catégorie CWE-119, qui couvre les erreurs de mémoire tampon telles que les débordements de tampon et les écritures hors limites.
Il obtient un score CVSS de 9,6 et possède un vecteur d'attaque via le réseau adjacent. Son exploitation ne nécessite ni authentification ni interaction de l'utilisateur, selon le vecteur de gravité publié par Cisco.
Les six autres groupes de vulnérabilités concernent des problèmes liés aux contrôles d'accès, à la validation des entrées, à la gestion des ressources, aux calculs, au flux de contrôle et à l'injection.
Cisco répertorie les CVE suivants :
- CVE-2026-76464 (CVSS 9,6) : Restrictions incorrectes des opérations sur les tampons mémoire.
- CVE-2026-76463 (CVSS 8,8) : Contrôle d'accès incorrect.
- CVE-2026-76467 (CVSS 7,5) : Gestion incorrecte d'une ressource pendant toute sa durée de vie.
- CVE-2026-76468 (CVSS 8,2) : Validation incorrecte des entrées.
- CVE-2026-76469 (CVSS 7,4) : Gestion insuffisante du flux de contrôle.
- CVE-2026-76470 (CVSS 8,8) : Calculs incorrects.
- CVE-2026-76472 (CVSS 8,8) : Gestion incorrecte d'éléments spéciaux, notamment des faiblesses liées à l'injection.
Cisco regroupe les problèmes associés sous des identifiants CVE individuels en fonction de leur catégorie Common Weakness Enumeration (CWE). Chaque score de gravité publié représente la vulnérabilité sous-jacente la plus grave de ce groupe, et non chaque faiblesse ayant le même impact.
Les équipes d'ingénierie de l'entreprise ont identifié ces problèmes grâce à des tests de sécurité internes comprenant les processus de test existants et des modèles d'IA de pointe.
L'équipe Product Security Incident Response Team (PSIRT) de Cisco a indiqué qu'elle n'avait connaissance d'aucune annonce publique ni d'aucune utilisation malveillante de ces vulnérabilités au moment de la publication de l'avis.
Quels produits Cisco Meraki doivent être mis à jour ?
L'avis couvre six familles de produits Meraki :
- Passerelles Meraki Campus
- Passerelles cellulaires Meraki MG
- Points d'accès sans fil Meraki MR
- Commutateurs Meraki MS
- Caméras intelligentes Meraki MV
- Appliances de sécurité et SD-WAN Meraki MX
Les versions logicielles concernées et les correctifs diffèrent selon ces produits. Les administrateurs doivent faire correspondre la famille de produits et la branche de firmware de chaque appareil avec la liste des versions corrigées de Cisco.
Firmware corrigé déjà disponible
Cisco identifie les premières versions corrigées suivantes pour plusieurs familles de produits concernées :
- Passerelles cellulaires MG : version 26.1.4 pour la branche 26.1.
- Points d'accès sans fil MR : versions 30.7.3, 31.1.8.1 et 33.1.3 pour leurs branches respectives.
- Commutateurs MS : IOS XE 17.15.6, 17.18.4.1 et 26.1.2 pour les branches IOS XE correspondantes.
- Caméras intelligentes MV : version 8.0 pour la branche 7-series.
- Appliances de sécurité MX : versions 18.107.14, 19.2.9, 26.1.7 et 26.2.3 pour leurs branches correspondantes.
Les exigences de version pour les MX comportent d'importantes exceptions. Cisco indique que la version 19.2.9 est disponible uniquement pour les appareils Meraki Z3.
Les clients qui ne trouvent pas les versions MX 18.107.14 ou 19.2.9 parmi les options de mise à jour disponibles doivent contacter le support technique de Cisco Meraki.
Correctifs de firmware encore en attente
Trois versions corrigées étaient accompagnées de dates de disponibilité futures dans l'avis de Cisco du 8 octobre :
- Campus Gateway 32.2 : version 32.2.5, attendue fin octobre 2026.
- Campus Gateway 33.1 : version 33.1.4, attendue mi-novembre 2026.
- Commutateur MS 18.1 : version 18.1.9, attendue mi-octobre 2026.
Les points d'accès sans fil MR fonctionnant sur la branche 32.2 nécessitent également la version 32.2.5, que Cisco annonce pour fin octobre.
Il s'agit des dates de disponibilité prévisionnelles de Cisco, et non d'une confirmation de la livraison du firmware. Les administrateurs doivent consulter l'avis actuel et le Meraki Dashboard avant de planifier les mises à niveau.
La distinction entre les familles de produits est particulièrement importante pour la version 33.1. La première version corrigée pour les points d'accès MR est la 33.1.3, tandis que les Campus Gateways nécessitent la version ultérieure 33.1.4.
Un numéro de version correspondant provenant d'une autre famille de produits Meraki n'offre pas nécessairement de protection.
Que doivent faire les administrateurs en attendant les correctifs ?
Cisco indique qu'aucune solution de contournement ne permet de remédier à ces vulnérabilités. La mesure recommandée consiste à installer le logiciel corrigé indiqué pour chaque produit concerné.
Pour les organisations disposant de déploiements Meraki mixtes, les mesures immédiates sont les suivantes :
- Inventorier les appareils concernés. Identifier tous les Campus Gateways, passerelles MG, points d'accès MR, commutateurs MS, caméras MV et appliances MX, ainsi que leurs versions de firmware.
- Faire correspondre les appareils aux versions corrigées. Consulter l'avis de Cisco en fonction de la famille de l'appareil et de sa branche de firmware, et pas uniquement du numéro de version.
- Mettre à niveau les appareils lorsque des correctifs sont disponibles. Planifier les mises à jour de firmware et vérifier ensuite les versions installées.
- Suivre les firmwares en attente. Surveiller les versions attendues en octobre et novembre et prévoir des fenêtres de maintenance dès leur disponibilité.
- Vérifier les accès et les autorisations de mise à niveau. Confirmer que les administrateurs autorisés peuvent gérer les mises à niveau du firmware via le Meraki Dashboard.
- Consulter les notes de version. Examiner les problèmes connus et les limitations propres à chaque modèle avant de déployer le firmware sur les appareils de production.
Les administrateurs qui gèrent des points d'accès MR doivent accorder une attention particulière aux notes de version MR 33.1.3.
La version comprend 12 correctifs documentés et quatre problèmes connus. Ces problèmes connus doivent être évalués au regard des modèles de points d'accès utilisés avant la mise à niveau.
Les organisations qui utilisent encore d'anciennes versions de firmware doivent également consulter la politique de fin de vie des firmwares Meraki. Certaines anciennes branches de firmware ne bénéficient plus d'une maintenance régulière ; leur éligibilité aux correctifs de sécurité doit donc être vérifiée et non supposée.
Le suivi des versions corrigées constitue un élément important de la gestion des vulnérabilités, en particulier lorsque différents produits nécessitent des mises à jour différentes.
Pour les équipes de sécurité qui gèrent des environnements d'infrastructure plus vastes, les processus de gestion des correctifs peuvent également aider à documenter les mises à jour en attente et à confirmer que la remédiation a été effectuée.
L'avis de Cisco concernant Meraki laisse les administrateurs face à un calendrier de correctifs échelonné. Les organisations peuvent dès maintenant mettre à jour les produits pour lesquels des correctifs sont disponibles, tandis que celles qui utilisent un firmware concerné sans correctif publié doivent surveiller les dates de disponibilité communiquées par Cisco et préparer des fenêtres de maintenance au fur et à mesure de la disponibilité des mises à jour.
À lire également : Les mises à jour de sécurité de septembre de Microsoft ont corrigé des centaines de vulnérabilités, dont deux failles zero-day de Windows déjà exploitées par des attaquants.