Cisco durcit IOS XE et SD-WAN en urgence — 12 failles dont trois CVSS 9.9 découvertes avec l’aide de l’IA

5 août 2026, 14 h 00 UTC. Cisco PSIRT publie simultanément deux avis de sécurité qui, mis bout à bout, couvrent 12 vulnérabilités dans IOS XE et SD-WAN. Trois d’entre elles affichent un score CVSS 9.9 — le plafond pratique pour une faille exploitable à distance sans authentification. La nouveauté n’est pas le volume : c’est la méthode. Cisco confirme que ces failles ont été découvertes lors d’un audit interne combinant les processus QA existants avec des modèles d’IA de pointe.

Le virage est structurel. Le 29 mai 2026, Cisco avait annoncé un changement de philosophie dans son programme de divulgation, explicitement motivé par l’accélération de la découverte de vulnérabilités assistée par IA. Le 5 août 2026, nous en voyons le premier résultat industriel : un hardening release qui ne répond pas à une exploitation in-the-wild, mais qui anticipe ce que l’IA a trouvé avant les attaquants.

IOS XE : sept CVE dont une RCE non authentifiée à CVSS 9.8

L’avis cisco-sa-hardening-iosxe-V8NMuMZJ couvre sept vulnérabilités dans IOS XE Software, regroupées par classe CWE plutôt que par bug individuel. Cisco a attribué un CVE unique par catégorie de faiblesse. Une seule est critique au sens strict, mais la combinaison est explosive.

CVE-2026-20272 est la plus dangereuse : exploitable à distance, sans authentification, sans interaction utilisateur. L’attaquant peut injecter des commandes arbitraires sur le système d’exploitation du routeur ou du commutateur. Les versions affectées couvrent les branches 17.9, 17.12, 17.15, 17.18 et 26.1 d’IOS XE, quel que soit le mode de fonctionnement — autonome ou contrôleur.

Aucun contournement n’existe. Cisco PSIRT est formel : la seule mitigation est le passage aux versions corrigées (17.9.10, 17.12.8, 17.15.6, 17.18.4/4a, 26.1.2).

SD-WAN : cinq CVE dont deux à CVSS 9.9

L’avis cisco-sa-hardening-sdwan suit la même logique de regroupement par classe CWE, avec cinq vulnérabilités dans Cisco Catalyst SD-WAN Software. Trois d’entre elles atteignent un CVSS critique :

• CVE-2026-20303 (CVSS 9.9) : injection de commandes OS via une neutralisation incorrecte des entrées utilisateur
• CVE-2026-20304 (CVSS 9.9) : contournement du contrôle d’accès permettant une escalade de privilèges non authentifiée
• CVE-2026-20310 (CVSS 9.9) : faille de contrôle d’accès dans le plan de gestion SD-WAN

Les deux autres — CVE-2026-20312 (8.6) et CVE-2026-20313 (8.6) — concernent respectivement une corruption mémoire et une validation d’entrée insuffisante.

La surface d’attaque est doublement préoccupante : SD-WAN est par définition exposé sur la périphérie du réseau, souvent directement accessible depuis Internet pour les tunnels inter-sites. Un attaquant qui compromet le plan de gestion SD-WAN ne détourne pas un routeur — il détourne la politique de routage de toute l’entreprise.

Ce que change l’IA dans la découverte de vulnérabilités

Le communiqué de Cisco contient une phrase que peu d’éditeurs ont encore écrite : « These vulnerabilities were found during internal testing that combined existing QA processes with frontier AI models. » Ce n’est pas un argument marketing. C’est un changement de pipeline.

En mai 2026, Cisco avait annoncé une refonte de son processus de divulgation, baptisée « Strengthening the Foundation: A Predictable, Customer-Focused Response to AI-Accelerated Vulnerability Discovery ». Le constat était simple : les modèles de langage capables d’analyser du code source à l’échelle d’un firmware de routeur peuvent trouver des bugs de sécurité plus vite que les équipes humaines — et plus vite que les attaquants. La course n’est plus entre le chercheur et le threat actor ; elle est entre l’audit IA de l’éditeur et le scan IA de l’attaquant.

Le résultat est visible dans ce batch du 5 août : 12 CVE en un seul jour, sans exploit public préalable, sans divulgation externe. Cisco a trouvé ses propres bugs avant que quelqu’un d’autre ne les trouve — et c’est exactement le modèle que l’industrie doit viser.

Verdict : le hardening devient la norme, pas l’exception

Le message pour les équipes réseau est clair. Les Patch Tuesdays mensuels ne suffisent plus quand l’IA peut produire des batches de 12 failles critiques en une seule campagne d’audit. Les administrateurs de IOS XE et SD-WAN ont trois actions à exécuter immédiatement :

1. Identifier toutes les instances tournant sur les branches 17.9, 17.12, 17.15, 17.18 ou 26.1
2. Planifier une fenêtre de mise à jour vers les versions corrigées — Cisco ne fournit aucun workaround
3. Surveiller les annonces Cisco PSIRT avec une fréquence hebdomadaire, pas mensuelle : le rythme de divulgation va s’accélérer

Si votre organisation opère des équipements Cisco SD-WAN exposés sur Internet, les CVE-2026-20303 et CVE-2026-20304 (CVSS 9.9) justifient une intervention d’urgence — n’attendez pas la prochaine fenêtre de maintenance planifiée. Un attaquant qui automatise l’exploitation de ces failles avec un LLM peut scanner et compromettre l’ensemble de votre surface SD-WAN en moins d’une heure.

Références

• Cisco Security Advisory: IOS XE Software Security Hardening Release — August 2026
• Cisco Security Advisory: Catalyst SD-WAN Software Security Hardening Release — August 2026
• Cisco PSIRT — Strengthening the Foundation: AI-Accelerated Vulnerability Discovery (May 2026)
• CyberPress — Cisco Patches Critical IOS XE Vulnerabilities (August 6, 2026)
• The Hacker News — Cisco Patches 12 SD-WAN and IOS XE Flaws (August 2026)