Le détail de la semaine

Cisco a publié le 30 septembre 2026 un avis sur la CVE-2026-76504, une faille d'authentification dans Catalyst SD-WAN Manager. Une mauvaise gestion de l'encodage des URI permet à une requête forgée de contourner une règle d'accès sur un point d'API et d'accéder à l'API avec le compte administrateur, sans identifiants. La CISA l'a ajoutée au catalogue KEV le 30 septembre ; Cisco indique avoir constaté une exploitation active en septembre, avant la disponibilité des correctifs.

À la différence de notre précédent bulletin, des versions corrigées existent désormais (20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 et 26.2.1 selon le Centre canadien pour la cybersécurité). Cisco précise qu'aucun contournement n'existe et que tous les déploiements sont concernés quelle que soit leur configuration.

Aucune cible UEMOA n'est documentée dans les sources consultées. La pertinence pour la zone tient au déploiement de SD-WAN par les banques, opérateurs télécoms et administrations pour relier leurs agences : un contrôleur compromis donne la main sur la configuration réseau de l'ensemble des sites.

Citrix a corrigé plusieurs failles de NetScaler ADC et Gateway, dont les zero-days CVE-2026-88771 et CVE-2026-88772, exploités pour installer des webshells et des outils de tunnel sur les systèmes compromis (Check Point, The Hacker News). Des utilisateurs ont signalé des plantages et redémarrages après l'application du correctif regroupant huit vulnérabilités.

La CVE-2026-88779, ajoutée au KEV de la CISA le 4 octobre, est un dépassement de mémoire provoquant un déni de service ; Citrix indique avoir observé des attaques ciblées contre des déploiements non protégés. Elle ne concerne que les configurations SAML (fournisseur de service ou d'identité) avec Gateway ou AAA. Des tentatives de téléchargement d'un script d'installation de webshell ont été observées sur des honeypots, mais l'article ne permet pas de dire si la faille mène à une exécution de code.

Les NetScaler sont très répandus comme passerelles d'accès distant dans les banques, opérateurs et administrations. Aucune victime UEMOA n'est documentée dans les sources consultées, mais l'exposition de ces équipements en fait une cible prioritaire à corriger dans la zone.

Le 8 octobre 2026, la CISA a ajouté au catalogue KEV cinq vulnérabilités anciennes au motif d'une exploitation active : CVE-2016-3081 (exécution de code dans Apache Struts via la méthode préfixée, si Dynamic Method Invocation est activé), CVE-2015-3306 (ProFTPD : lecture/écriture de fichiers via SITE CPFR/CPTO), CVE-2021-3199 (ONLYOFFICE Docs : traversée de chemin pouvant mener à l'exécution de code), CVE-2023-22894 (Strapi : exposition d'informations sensibles) et CVE-2015-5477 (ISC BIND : déni de service via requêtes TKEY).

Pour quatre d'entre elles, la CISA exige un tri forensique (BOD 26-04), signe que des compromissions préalables sont plausibles. Pour Strapi, le produit peut être en fin de vie et la CISA recommande de migrer vers une version supportée.

Aucune cible UEMOA n'est documentée. Ces composants sont toutefois fréquents dans les applications métier, serveurs de fichiers et DNS non mis à jour des administrations, banques et entreprises de la zone : un inventaire rapide s'impose.

Selon le rapport de renseignement de Check Point Research du 5 octobre 2026, le groupe Warlock exploite les vulnérabilités SharePoint dites ToolShell pour obtenir un accès initial à des organisations de services publics, de télécommunications, d'administration et d'éducation.

Une fois le serveur SharePoint compromis, les attaquants désactivent les protections des postes puis déploient le rançongiciel ; dans une intrusion décrite, au moins 33 hôtes ont été touchés.

Le rapport ne cite aucune victime UEMOA. La menace reste pertinente pour la zone car SharePoint on-premise est répandu dans les administrations et opérateurs, et les secteurs ciblés correspondent à ceux de la région.