Une faille de type Server-Side Request Forgery (SSRF) a été identifiée dans l’interface de gestion web de Cisco Finesse. Cette vulnérabilité, cataloguée sous la CVE-2026-20362, permet à un attaquant externe, sans avoir besoin de s’authentifier, d’initier des requêtes serveur sur les dispositifs affectés. Les chercheurs de Horizon3 l’ont découverte le 7 octobre 2026, et Cisco a rapidement émis un avis de sécurité à ce sujet.
Le défaut réside dans une validation d’entrée insuffisante au niveau des requêtes HTTP spécifiques traitées par le système. En tirant parti de cette faille, un acteur malveillant pourrait potentiellement accéder à des informations sensibles liées aux services fonctionnant sur l’appareil compromis. Selon Cisco, aucune méthode de contournement n’a été communiquée pour endiguer immédiatement cette exposition.
Ce qui est touché et la portée de l’attaque
Cette vulnérabilité touche l’implémentation de Cisco Finesse, et elle s’étend par contagion aux produits qui l’intègrent. Les équipements concernés incluent le Packaged Contact Center Enterprise (Packaged CCE), le Unified Contact Center Enterprise (Unified CCE) et le Unified Contact Center Express (Unified CCX). Il est important de comprendre que, d’après l’avis, l’impact peut se limiter à l’obtention d’informations sensibles, mais l’accès à distance et non authentifié est la donnée la plus préoccupante pour les administrateurs.
Cisco précise que cette faille ne concerne pas le Unified Intelligence Center. Les versions vulnérables de Cisco Finesse sont celles antérieures à la version 12.6, tandis que pour Cisco Unified CCX, les versions antérieures à 12.5 sont exposées. Les produits Packaged CCE ou Unified CCE nécessitent spécifiquement que le composant Finesse soit mis à jour.
Qui doit agir et comment réparer
La recommandation de Cisco est claire : la seule voie de remédiation est la mise à niveau vers une version logicielle corrigée. Pour Cisco Finesse, les utilisateurs doivent migrer vers la version 15.0 ou ultérieure. Concernant Cisco Unified CCX, la migration doit se faire vers la version 15.0(1) SU1. Pour les systèmes Packaged CCE ou Unified CCE, l’obligation est de faire progresser le composant Finesse.
Cisco rappelle dans sa politique de sécurité que toute vulnérabilité est définie comme une faiblesse dans la logique computationnelle qui, lorsqu’elle est exploitée, affecte la confidentialité, l’intégrité ou la disponibilité. Les entreprises qui utilisent ces solutions de centres de contact doivent donc vérifier l’état de leurs déploiements par rapport aux tables de versions fournies dans l’avis.
Les professionnels de la sécurité sont invités à se référer aux canaux de Cisco PSIRT pour toute information complémentaire, bien que l’avis confirme qu’aucune utilisation malveillante n’a été documentée à ce jour.
Les équipes en charge des systèmes doivent surveiller attentivement leur calendrier de déploiement, car le maintien d’une version antérieure signifie une exposition continue à cette porte d’entrée non authentifiée.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-20362 | — | Élevée (CVSS 7,2) | Non signalée | Voir l’avis de l’éditeur |
Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- Cisco Security Advisories, cisco.com
- Security Vulnerability Policy, cisco.com
- Cisco Finesse Server-Side Request Forgery Vulnerability, Cisco, 29 octobre 2026
- CVE-2026-20362 | Cisco Finesse Server-Side Request Forgery Vulnerability, Horizon3.ai, 28 octobre 2026
- GHSA-q64m-jwqm-gm66 : A vulnerability in the web-based management interface of Cisco Finesse could allow an…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-20362, NVD (NIST)