Cisco Secure Email : deux failles peuvent dévoiler les courriels S/MIME
Le 2 septembre 2026, Cisco a publié un avis sur CVE-2026-20354 et CVE-2026-20355, deux failles de gravité moyenne dans la fonction de déchiffrement S/MIME de Cisco Secure Email. Selon l’avis de sécurité de Cisco, un attaquant distant non authentifié pourrait récupérer le texte en clair de courriels chiffrés s’il parvient à intercepter et à modifier le trafic entre deux passerelles de messagerie.
L’alerte ne concerne pas automatiquement tous les usages de S/MIME. Les appareils touchés exécutent AsyncOS 16.5.0 ou une version antérieure et utilisent S/MIME pour les communications entre passerelles ; l’analyse de SecurityWeek reprend ce périmètre et indique qu’aucune exploitation malveillante n’était connue lors de la publication.
Deux conditions déterminent si une passerelle est concernée
La présence d’une ancienne version d’AsyncOS ne suffit pas à elle seule. Le scénario décrit par Cisco suppose aussi que S/MIME soit configuré pour les échanges entre passerelles de messagerie. À l’inverse, l’activation de S/MIME sur des postes clients ou pour des utilisateurs ne place pas, par ce seul fait, ces usages dans le périmètre des deux CVE.
La vérification peut être synthétisée dans cette matrice :
- AsyncOS 16.5.0 ou antérieur avec S/MIME entre passerelles : la configuration correspond au périmètre vulnérable publié par Cisco.
- AsyncOS 16.5.0 ou antérieur sans S/MIME entre passerelles : la configuration ne réunit pas les conditions indiquées dans l’avis ; il reste nécessaire de vérifier tous les profils et flux de la passerelle.
- S/MIME uniquement sur les clients ou entre utilisateurs : cet usage seul ne correspond pas au scénario documenté entre passerelles Cisco Secure Email.
- Autre version d’AsyncOS : le statut exact doit être comparé aux fiches des bogues Cisco, qui contiennent les informations de version les plus récentes.
Cette dernière distinction est importante : « 16.5.0 ou antérieur » délimite les versions déclarées vulnérables lors de la publication, mais ne constitue pas à lui seul un numéro de version corrigée à choisir. L’inventaire doit donc associer le numéro complet d’AsyncOS à la configuration S/MIME de chaque passerelle.
L’attaque exige une interception et une modification du trafic
Les vulnérabilités proviennent d’une validation insuffisante de l’intégrité des messages. Leur exploitation repose sur une attaque de l’intercepteur : l’adversaire doit se placer sur le trajet de communication entre les passerelles, capturer le trafic puis le modifier avant son traitement par Cisco Secure Email.
Il ne s’agit donc ni d’un accès direct à une boîte aux lettres quelconque, ni d’une capacité générale à déchiffrer passivement tous les courriels S/MIME déjà collectés. Le risque documenté porte sur la récupération du contenu en clair d’une communication chiffrée dans ce scénario actif et dans la configuration vulnérable.
Les deux CVE ont un score CVSS de 5,9. Le vecteur publié combine un accès réseau sans authentification ni interaction de l’utilisateur avec une complexité d’attaque élevée ; l’impact évalué est important pour la confidentialité, mais nul pour l’intégrité et la disponibilité du système. Ce profil explique le classement « moyen » malgré la sensibilité potentielle du contenu exposé.
L’architecture réseau influe donc sur la possibilité pratique d’une attaque. La présence d’un trajet qu’un adversaire pourrait détourner ou contrôler accroît l’exposition, mais des protections réseau ne corrigent pas le défaut de validation dans le produit et ne remplacent pas une version corrigée.
La correction passe par une mise à niveau d’AsyncOS
Cisco ne documente aucun contournement pour CVE-2026-20354 et CVE-2026-20355. L’entreprise recommande une mise à niveau vers une version corrigée et renvoie aux fiches des bogues CSCwu28362 et CSCwu28364 pour déterminer les versions applicables.
La vérification de The Hacker News précise également que les versions corrigées de cette paire de failles sont indiquées uniquement dans ces fiches de bogue. Une organisation ne devrait donc pas déduire qu’une version choisie arbitrairement au-dessus de 16.5.0 constitue nécessairement la bonne cible : elle doit confronter sa branche, son build et son matériel aux informations de correction de Cisco.
La priorité revient aux passerelles qui cumulent les deux critères publiés. Pour chacune, l’administrateur doit relever le numéro complet d’AsyncOS, confirmer l’activation de S/MIME entre passerelles, consulter l’état actuel des deux fiches de bogue puis préparer la version corrigée compatible avec le déploiement.
L’absence de contournement ne vaut pas recommandation générale de désactiver S/MIME. Une modification temporaire du traitement des courriels ou de l’architecture pourrait avoir ses propres conséquences sur la confidentialité et la continuité ; l’avis de Cisco désigne la mise à niveau comme mesure corrective.
Une divulgation publique sans attaque malveillante connue
Lors de la publication, le Cisco Product Security Incident Response Team avait connaissance d’une annonce publique concernant les vulnérabilités, mais d’aucune utilisation malveillante. Une divulgation publique signifie que des informations sur les failles sont disponibles ; elle ne démontre pas que des attaques ont été observées.
Cet état peut évoluer et ne réduit pas le périmètre technique déjà établi. Le scénario exige toujours la réunion de trois éléments : une passerelle Cisco Secure Email sous une version concernée, S/MIME configuré entre passerelles et un adversaire capable d’intercepter puis de modifier leur trafic.
À ce stade, les deux failles ne remettent donc pas en cause S/MIME dans son ensemble. Le risque confirmé vise une configuration précise de Cisco Secure Email, et la réponse attendue repose sur l’identification des passerelles concernées puis sur l’installation de la version corrigée indiquée pour leur branche d’AsyncOS.
À lire aussi:
Abonnez-vous à notre newsletter
Recevez directement les dernières actualités sur le Web3, l’IA et les cryptomonnaies.