Cisco SD-WAN activement exploité : le CERT-FR sonne quatre alertes le même jour

Le 4 juin 2026, le CERT-FR a publié coup sur coup quatre avis de sécurité visant des produits du quotidien des directions informatiques: Cisco Catalyst SD-WAN ^[1], le serveur d’authentification FreeRADIUS ^[2], Synology Chat Server pour DSM ^[3] et les outils Active IQ de NetApp ^[4]. Un seul de ces avis suffirait à mobiliser une équipe sécurité. Quatre le même jour, c’est une journée à oublier pour les RSSI français.

LES ENJEUX

Cisco SD-WAN activement exploité

La CVE-2026-20245 affecte toutes les versions du Catalyst SD-WAN Manager. Cisco confirme l'exploitation in the wild et indique qu'aucun contournement n'est disponible sans mise à jour.

FreeRADIUS contourne la procédure CVE

L'éditeur a choisi de bypasser l'embargo de 90 jours, estimant que les outils d'analyse IA rendent obsolète la procédure classique de divulgation coordonnée.

Synology Chat Server noté 9 sur 10

La CVE-2026-40541 permet lecture/écriture de fichiers arbitraires sur DSM 7.2.1, 7.2.2 et 7.3. Build 2.4.5-22148 requis.

Équipements de bordure: cible structurelle

Position réseau exposée, privilèges élevés, supervision EDR quasi impossible: les équipements de bordure cumulent les vulnérabilités. L'ANSSI documente cette tendance depuis 2024.

Le cas le plus urgent porte un identifiant: CVE-2026-20245 ^[5]. Cisco indique que cette vulnérabilité, qui permet une élévation de privilèges sur Catalyst SD-WAN, est activement exploitée ^[6]. Toutes les versions du Catalyst SD-WAN Manager sont concernées ^[7]. Pour le dire simplement: aucune n’est épargnée. Le bulletin cisco-sa-sdwan-privesc-4uxFrdzx ^[8], publié le 4 juin 2026 ^[9], fournit les correctifs.

Cisco SD-WAN: une histoire qui se répète

Ce n’est pas la première alerte sur Catalyst SD-WAN cette année. Plus tôt en 2026, Cisco avait déjà publié un advisory critique noté 10.0 sur 10 ^[10] portant sur CVE-2026-20127 ^[11], une faille de contournement d’authentification dans le SD-WAN Controller et le SD-WAN Manager ^[12]. Concrètement, elle permettait à un attaquant non authentifié d’obtenir des privilèges administrateurs sur l’infrastructure SD-WAN ^[13]. Le CERT-FR avait alors confirmé une exploitation active ^[14]. Cisco précisait qu’aucun contournement ne permettait de neutraliser cette faille sans appliquer la mise à jour ^[15]. Quelques mois plus tard, rebelote.

Équipements de bordure: pourquoi ils sont la cible de choix

Les infrastructures SD-WAN concentrent l’attention des attaquants depuis 2023 ^[16]. L’ANSSI et ses homologues européens documentent depuis 2024 ^[17] une tendance à la compromission des équipements de bordure ^[18]. Le terme désigne les boîtiers qui font la jonction entre le réseau interne d’une entreprise et internet: routeurs SD-WAN, pare-feu d’entreprise, concentrateurs VPN, passerelles d’authentification comme FreeRADIUS. Tous partagent les mêmes caractéristiques: exposition directe à internet, privilèges élevés sur le trafic réseau, et surtout, supervision quasi impossible avec les outils EDR classiques qui n’ont pas accès au système embarqué de ces équipements.

Le mécanisme d’attaque est toujours le même. L’attaquant ne cherche pas à compromettre un poste utilisateur, il vise la porte d’entrée. Une fois sur l’équipement de bordure, il contrôle ce qui passe, peut pivoter vers le réseau interne, exfiltrer du trafic sans déclencher d’alerte sur les sondes positionnées plus en aval. C’est exactement ce que représentent un Cisco SD-WAN Manager, un FreeRADIUS exposé en UDP ou un Synology accessible depuis internet ^[19]. On se souvient des compromissions de pare-feu Ivanti, Fortinet et Palo Alto qui ont rythmé l’actualité récente, selon plusieurs sources: même schéma, mêmes conséquences. La rafale du 4 juin s’inscrit dans cette continuité.

FreeRADIUS bypasse la procédure CVE

L’avis CERTFR-2026-AVI-0688 ^[20] cible FreeRADIUS, serveur d’authentification open-source massivement déployé pour le Wi-Fi d’entreprise et les VPN. Les versions 3.2.x antérieures à 3.2.9 ^[21] et toutes les versions antérieures à 3.0.28 ^[22] sont affectées. L’éditeur a publié les correctifs le 1er juin 2026 ^[23].

Le détail technique qui fait mal: un attribut NAS-Filter-Rule long mais bien formé pouvait faire planter le serveur avant authentification, donc exploitable par n’importe qui capable d’envoyer des paquets UDP ^[24]. À cela s’ajoutent des débordements de tampon dans EAP-MSCHAPv2 ^[25], EAP-MD5 ^[26] et TEAP ^[27], plus des fuites mémoire sur les sockets RadSec ^[28]. Les recommandations habituelles du CERT-FR s’appliquent: patcher sans délai.

Plus inhabituel: FreeRADIUS a choisi de contourner la procédure CVE standard et les embargos ^[29]. Justification de l’éditeur: puisque nous sommes en 2026 et que tout le monde utilise des outils d’analyse IA, l’éditeur estime que divulguer davantage de détails n’a plus de sens ^[30]. L’argument tient en une phrase: si l’IA permet à un attaquant d’identifier la faille à faible effort en lisant le commit de correction, l’embargo de 90 jours ^[31] devient un cadeau aux attaquants plus qu’une protection.

La rupture n’est pas sans précédent. On se souvient, selon plusieurs sources, des polémiques récurrentes autour de la politique des 90 jours de Google Project Zero, accusée de forcer la main aux éditeurs en publiant les détails techniques à échéance, exploitation ou pas. On se souvient aussi du choc Heartbleed, où la coordination entre OpenSSL et les distributions Linux avait été jugée trop lente face à une faille triviale à reproduire. Dans les deux cas, la question était la même: qui profite réellement de l’embargo? FreeRADIUS y répond par la négative et tranche en faveur de la publication accélérée. C’est un précédent. Il fera école ou il sera contesté.

Synology Chat Server: 9 sur 10

Trois CVE frappent Synology Chat Server pour DSM ^[3]. La plus sévère, CVE-2026-40541 ^[32], est notée 9.0 sur 10 ^[33]. Classée par Synology comme une faille de type cross-site scripting (CWE-79) ^[34], elle peut conduire, selon le bulletin du CERT-FR, à la lecture ou l’écriture de fichiers arbitraires et à des attaques par déni de service ^[35]. S’y ajoutent une SSRF ^[36] et une XSS ^[37]. Les versions DSM 7.2.1 ^[38], 7.2.2 ^[39] et 7.3 ^[40] sont toutes concernées sous le build 2.4.5-22148 ^[41]. Les failles ont été remontées par Lam Jun Rong ^[42] et Javier Koh ^[43], du Digital and Intelligence Service (DIS) ^[44] travaillant avec le Centre for Strategic Infocomm Technologies ^[45].

NetApp: le maillon discret

Côté NetApp, l’avis vise Active IQ Config Advisor antérieur à 6.7.4 ^[46] et Active IQ OneCollect antérieur à 2.7.4 ^[47]. L’impact: contournement de la politique de sécurité ^[48]. Deux bulletins éditeur datés du 3 juin 2026 ^[49] fournissent les correctifs. Moins spectaculaire que Cisco, mais ces outils sont déployés dans la plupart des infrastructures de stockage d’entreprise.

Pourquoi le 4 juin, et pourquoi maintenant

Cette rafale ne tombe pas dans le vide. Le panorama de la cybermenace 2025 ^[50] publié par l’ANSSI documente 3 586 événements de sécurité traités ^[51], soit 18 % de moins qu’en 2024 ^[52]. Mais le nombre d’incidents confirmés reste stable à 1 366 ^[53] contre 1 361 un an plus tôt ^[54]. Ce que ça veut dire: moins de bruit, autant de dégâts.

Le signal le plus net concerne les exfiltrations de données: 196 incidents en 2025 ^[55] contre 130 en 2024 ^[56], soit une nette progression. Vincent Strubel, directeur général de l’ANSSI ^[57], ouvre son édito sur les attaques coordonnées à visée destructive contre les infrastructures électriques polonaises fin 2025 ^[58]. Les équipements de bordure restent une cible prisée ^[19].

Ce que les sources ne disent pas

Quatre questions restent sans réponse dans les avis publiés. D’abord: combien d’instances Cisco Catalyst SD-WAN Manager sont actuellement exposées sur internet? Aucune source consultée ne fournit de données sur la surface d’attaque réelle, ni en France ni à l’échelle européenne - pas de chiffre Shodan, pas de comptage Censys, aucune statistique publique de l’ANSSI ou de l’ENISA. Cette lacune empêche d’évaluer concrètement combien d’organisations sont en danger immédiat. Ensuite: qui exploite CVE-2026-20245? Cisco confirme l’exploitation mais ne caractérise pas l’attaquant - groupe étatique, cybercriminel opportuniste, courtier d’accès initial restent indifférenciés. Troisième angle mort: la décision de FreeRADIUS de court-circuiter la procédure CVE ouvre un débat de fond sur la divulgation coordonnée à l’ère des LLM, mais aucune position officielle de l’ANSSI sur ce point précis n’apparaît dans les avis du 4 juin. Enfin, les avis NetApp ne précisent pas si les outils Active IQ Config Advisor et OneCollect sont exposés en SaaS ou uniquement on-premises, ce qui change l’urgence du déploiement.

Pour les équipes sécurité, le message est simple. Cisco SD-WAN: patcher immédiatement, l’exploitation est confirmée. FreeRADIUS 3.0.x ou 3.2.x: migrer vers 3.0.28 ^[59] ou 3.2.9 ^[60]. Synology Chat Server: build 2.4.5-22148 minimum. NetApp Active IQ: versions 6.7.4 et 2.7.4. Les correctifs existent. Le reste est une question d’heures.