### Contournement d'authentification dans Cisco IMC **Cisco** a publié des mises à jour pour remédier à une faille de sécurité critique affectant l'Integrated Management Controller (IMC). Cette vulnérabilité, identifiée comme **CVE-2026-20093**, a un score CVSS de 9.8, indiquant sa gravité. La vulnérabilité découle d'une mauvaise gestion des demandes de changement de mot de passe. Selon l'avis de **Cisco**, un attaquant pourrait l'exploiter en envoyant une requête HTTP spécialement conçue à un appareil vulnérable. Une exploitation réussie pourrait permettre à un attaquant de contourner l'authentification, de changer les mots de passe de n'importe quel utilisateur (y compris les administrateurs) et d'obtenir un accès non autorisé au système. La vulnérabilité affecte les produits suivants : * 5000 Series Enterprise Network Compute Systems (ENCS) - Corrigé dans 4.15.5 * Catalyst 8300 Series Edge uCPE - Corrigé dans 4.18.3 * Serveurs Rack UCS C-Series M5 et M6 en mode autonome - Corrigé dans 4.3(2.260007), 4.3(6.260017) et 6.0(1.250174) * Serveurs UCS E-Series M3 - Corrigé dans 3.2.17 * Serveurs UCS E-Series M6 - Corrigé dans 4.15.3 Le chercheur en sécurité "jyh" est crédité de la découverte et du signalement de cette vulnérabilité. Il est fortement conseillé aux utilisateurs des systèmes affectés d'appliquer les correctifs fournis. ### Exécution de commandes à distance dans Smart Software Manager On-Prem Une autre vulnérabilité critique, **CVE-2026-20160** (score CVSS : 9.8), affecte **Cisco** Smart Software Manager On-Prem (SSM On-Prem). Cette faille pourrait permettre à un attaquant distant non authentifié d'exécuter des commandes arbitraires sur le système d'exploitation sous-jacent. La vulnérabilité est due à l'exposition involontaire d'un service interne. Un attaquant pourrait l'exploiter en envoyant une requête spécialement conçue à l'API du service exposé. Une exploitation réussie accorderait à l'attaquant des privilèges de niveau root sur le système d'exploitation sous-jacent. Des correctifs pour cette vulnérabilité sont disponibles dans la version 9-202601 de **Cisco** SSM On-Prem. **Cisco** a déclaré que cette vulnérabilité avait été découverte en interne lors de la résolution d'un cas de support du **Cisco** Technical Assistance Center (TAC). ### Atténuation Bien qu'aucune des deux vulnérabilités n'ait été exploitée activement, de récentes failles de sécurité dans les produits **Cisco** ont été activement exploitées par des acteurs malveillants. Compte tenu de ce contexte, **Cisco** exhorte les clients à mettre à jour vers les versions corrigées dès que possible afin d'assurer une protection optimale en l'absence de solution de contournement.