Cisco Expressway : une faille critique expose certains équipements en cluster
Le 22 octobre 2026, le CERT-FR a relayé une série de correctifs Cisco comprenant une vulnérabilité critique d’Expressway, la plateforme de communication de l’équipementier. L’avis original a été publié le 21 octobre.
CVE-2026-76466 est notée 9,8/10 selon CVSS v3.1. Elle peut permettre une exécution de commandes avec les privilèges root sur le système sous-jacent. Le service de base de données et ses mécanismes d’authentification sont en cause.
Les équipements Expressway-C et Expressway-E configurés en cluster sont concernés, qu’ils soient déployés sous forme virtuelle ou matérielle, lorsqu’ils utilisent une version vulnérable. Le scénario suppose également un accès réseau au service et la possession d’éléments d’authentification persistants. Il ne faut donc pas assimiler le score critique à une compromission automatique de tout équipement Cisco.
Pour les versions X15.5.3 et antérieures, Cisco indique X15.5.20 comme première version corrigée. Les installations X14 et plus anciennes doivent migrer vers une version corrigée. Aucun contournement n’est proposé dans l’avis.
Le centre de réponse aux incidents de Cisco indique ne pas avoir connaissance d’utilisation malveillante de cette vulnérabilité. Les responsables doivent vérifier le déploiement en cluster, la version réellement installée et les prérequis de mise à jour avant d’appliquer le correctif.
Mots-clés suggérés : Cisco, Expressway, communications, correctifs, cybersécurité.
Sources :
Cisco, avis officiel CVE-2026-76466 du 21 octobre 2026
CERT-FR, avis indépendant CERTFR-2026-AVI-1360 du 22 octobre 2026
