Faille Cisco CVE-2026-20316 : votre pare-feu est-il concerné ?

Un pare-feu, c'est la porte blindée de votre réseau informatique. À l'été 2026, Cisco a reconnu que l'une de ses portes blindées était livrée avec un double de la clé sous le paillasson : la faille CVE-2026-20316, découverte dans son outil de gestion de pare-feu, le Secure Firewall Management Center (FMC). Un identifiant fixe, identique sur toutes les installations. Des attaquants l'ont trouvé et utilisé avant même que Cisco publie son alerte.

Vous n'avez pas besoin d'être client Cisco pour lire la suite. Cette histoire illustre une règle simple : la sécurité d'une entreprise ne tient pas à la solidité de la porte, mais à la discrétion de ses clés. Voici ce qui s'est passé, comment savoir si vous êtes concerné, et comment profiter de l'été pour compter vos doubles.

Ce qui s'est passé, expliqué sans jargon

Le FMC est le poste de garde des pare-feux Cisco : une console centrale depuis laquelle un administrateur pilote un ou plusieurs pare-feux, définit qui entre, qui sort, ce qui est bloqué. C'est un outil répandu dans les entreprises françaises équipées en matériel Cisco, souvent installé et géré par un prestataire informatique.

Dans cet outil, Cisco a laissé un compte avec un identifiant et un mot de passe inscrits en dur dans le logiciel. Le même compte, le même mot de passe, sur toutes les installations dans le monde. Ce genre de compte sert normalement aux phases de test chez le fabricant. Il n'aurait jamais dû se retrouver dans le produit livré.

Des attaquants l'ont découvert. Et comme le mot de passe est identique partout, connaître une clé revient à posséder le trousseau de milliers d'entreprises. Cisco a classé la faille en sévérité élevée et confirmé qu'elle était exploitée avant la publication de son alerte : c'est ce qu'on appelle une attaque zero-day. Un correctif est disponible, et le fabricant recommande de l'appliquer sans attendre.

Pourquoi une clé identique partout change tout

Trois raisons rendent ce type de faille plus sérieux qu'un bug ordinaire.

D'abord, l'attaque s'industrialise. Une faille classique demande un travail d'adaptation pour chaque cible. Ici, le même identifiant ouvre toutes les portes : les attaquants peuvent balayer internet à la recherche de consoles FMC accessibles et essayer la clé sur chacune, automatiquement.

Ensuite, la position est idéale. Le pare-feu voit passer tout le trafic de l'entreprise. Celui qui contrôle sa console de gestion peut ouvrir des passages discrets, désactiver des protections, observer les échanges. C'est le poste de garde lui-même qui est compromis, pas une fenêtre du deuxième étage.

Enfin, il n'y a pas d'effraction. Un attaquant qui entre avec un identifiant valide ne force rien : les journaux de connexion enregistrent un accès en apparence légitime. Pas de trace de pied-de-biche, donc pas d'alerte. Une intrusion de ce type peut durer des semaines avant d'être remarquée. C'est pour cela que Cisco recommande aussi de vérifier l'historique des connexions, pas seulement d'appliquer le correctif.

Comment savoir en 5 minutes si votre entreprise est concernée

Vous n'avez pas besoin de compétence technique pour faire ce premier tri. Trois vérifications suffisent.

1. Identifiez votre matériel (2 minutes). Regardez vos factures ou contrats informatiques, ou posez la question à votre prestataire : votre pare-feu est-il un équipement Cisco, et est-il géré via un Secure Firewall Management Center ? Si la réponse est non aux deux, vous n'êtes pas concerné par cette faille précise. Le mini-audit en fin d'article reste valable.

2. Vérifiez la mise à jour (2 minutes). Si vous utilisez un FMC, demandez par écrit à votre prestataire si le correctif Cisco pour la CVE-2026-20316 a été appliqué, et à quelle date. Une réponse précise avec une date est bon signe. Une réponse vague mérite une relance.

3. Posez la question de l'exposition (1 minute). Demandez si la console de gestion du pare-feu est accessible depuis internet. La bonne réponse est non : une console d'administration doit être joignable uniquement depuis le réseau interne ou via un accès distant sécurisé. Si elle était exposée, la vérification des journaux de connexion devient indispensable.

Ces cinq minutes ne remplacent pas un audit. Elles vous disent simplement si vous devez passer à l'étape suivante, et avec quel degré d'attention.

Les 3 questions à poser à votre prestataire informatique

Au-delà de cette faille, l'épisode révèle une dépendance : vous confiez vos clés à un tiers, sans toujours savoir comment il les garde. Trois questions permettent d'y voir clair, sans expertise technique.

« Comment êtes-vous informé des failles qui touchent notre matériel ? » Un prestataire sérieux suit les alertes des fabricants et celles du CERT-FR, le centre gouvernemental de veille. S'il découvre les failles dans la presse, vous les découvrirez après les attaquants.

« Sous quel délai appliquez-vous les correctifs de sécurité, et est-ce écrit dans notre contrat ? » Pour une faille exploitée activement, le délai raisonnable se compte en jours, pas en mois. Si rien n'est contractualisé, c'est le moment de le formaliser.

« Qui détient les accès d'administration à nos équipements, et comment sont-ils protégés ? » Vous devez pouvoir obtenir la liste des personnes qui ont les clés de votre réseau : chez le prestataire, chez vous, chez d'éventuels sous-traitants. Un compte par personne, une double vérification à la connexion, et une révocation immédiate quand quelqu'un part. Si personne ne sait répondre, la liste des porteurs de clés est probablement plus longue que vous ne le pensez.

Un exemple chiffré : ce que coûte une porte qu'on croyait fermée

Prenons un scénario type, construit à partir de cas documentés par l'ANSSI et les assureurs spécialisés. Une entreprise de négoce de 35 salariés, un pare-feu Cisco géré par un prestataire, une console de gestion exposée sur internet par commodité.

Un attaquant entre avec l'identifiant fixe. Pendant trois semaines, il observe, sans rien casser. Puis il chiffre les serveurs un vendredi soir et réclame une rançon.

L'addition, sans même payer la rançon : quatre jours d'activité arrêtée, soit environ 80 000 euros de chiffre d'affaires pour une entreprise qui facture 20 000 euros par jour. Ajoutez 15 000 à 25 000 euros de remise en état par des spécialistes, la notification à la CNIL si des données personnelles ont fui, et des semaines de confiance à reconstruire avec les clients. Le total dépasse fréquemment 100 000 euros. Le correctif, lui, se serait appliqué en une heure de maintenance planifiée.

Ce n'est pas une projection alarmiste : c'est l'écart ordinaire entre le coût d'une serrure changée à temps et celui d'une intrusion découverte trop tard.

Compter ses clés, tranquillement

L'été est le bon moment pour ce genre de vérification : l'activité ralentit, les urgences se font rares, on peut regarder son informatique posément. Voici un mini-audit des accès à glisser dans votre check-list de rentrée :

• lister les équipements qui protègent votre réseau (pare-feu, box professionnelle, VPN) et vérifier qu'ils sont à jour
• identifier qui détient un accès d'administration, en interne et chez vos prestataires
• supprimer les comptes des personnes parties et les comptes génériques partagés
• vérifier qu'aucune console d'administration n'est accessible directement depuis internet
• demander à votre prestataire une confirmation écrite sur la CVE-2026-20316 si vous êtes équipé en Cisco

Une heure suffit pour lancer ce tour d'horizon. Et si vous préférez le faire accompagné, ou faire vérifier les réponses de votre prestataire par un regard extérieur, nous en parlons volontiers : prenez rendez-vous, trente minutes, sans engagement.

Cisco a laissé un double sous le paillasson. La vraie question de cette rentrée n'est pas de savoir si votre porte est solide : c'est de savoir qui, aujourd'hui, en détient les clés.