Cisco embarque le mot de passe, le marché paie le multiple

Une porte administrateur, sans parade

Le 30 septembre, Cisco a prévenu ses clients : des attaquants exploitent déjà le logiciel qui pilote leurs réseaux étendus ¹². La vulnérabilité CVE-2026-76504, notée 9,8, permet à n'importe qui, sans la moindre authentification, d'appeler l'API de Catalyst SD-WAN Manager avec les pleins droits administrateur en encodant un seul caractère d'une requête de connexion ¹³. Il n'existe aucune solution de contournement : la faille a été mise au jour à l'occasion d'un simple ticket de support, et la CISA, l'agence américaine de cybersécurité, a sommé les agences fédérales d'appliquer les correctifs d'ici au 3 octobre↗ ¹²³.

C'est la cinquième faille « zero-day » exploitée cette année dans le SD-WAN de Cisco, et la troisième faille critique d'authentification exploitable sans authentification dans ce produit depuis février ¹². Trois semaines plus tôt, le 9 septembre, l'équipe Talos de Cisco elle-même avait identifié trois clusters d'intrusion dans Secure Firewall Management Center, la console qui administre les pare-feux de ses clients : des opérateurs du rançongiciel Qilin, entrés par le mot de passe embarqué, et un groupe dont l'outillage recoupe celui du Sandworm russe ⁴⁵⁶.

Un multiple de 31,8 fois pour 6 % du chiffre d'affaires

Le marché traite Cisco comme une valeur de l'IA : +61 % sur un an, et un multiple de 31,8 fois les bénéfices des douze derniers mois, contre 21,9 pour le S&P 500 ⁷. Une prime qui laisse bien peu de place à l'imprévu ⁷.

Les comptes publiés, eux, disent autre chose. L'infrastructure d'IA a généré quelque 4 milliards de dollars sur les 63,3 milliards de chiffre d'affaires de l'exercice 2026, soit environ 6 % ; les 7,5 milliards de dollars attendus cette année ne sont encore qu'une prévision de la direction ⁸⁷. Le dernier trimestre a affiché +18 %, tiré par des commandes de produits en hausse de 35 %, et la direction a indiqué que les hausses de prix sur les équipements gourmands en mémoire y avaient ajouté environ 5 points ⁸⁷.

Pour l'exercice 2027, Cisco se donne pour objectif 72,2 à 73,4 milliards de dollars, avec une croissance hors IA proche de 10 %, face aux trimestres de +12 % et +18 % qui serviront de base de comparaison ⁸⁷. Fin septembre, Piper Sandler a abaissé son objectif de cours à 125 dollars↗, par crainte que la croissance n'ait atteint son pic ⁷.

La série que l'engagement n'a pas brisée

Cisco a signé en mai 2024 l'engagement « Secure by Design » de la CISA↗, qui demande aux signataires des progrès mesurables, en un an, sur la réduction des mots de passe par défaut ; l'engagement est volontaire et n'est pas vérifié ⁶. Les avis de sécurité, eux, ont continué de tomber : identifiants codés en dur signalés en 2018 et 2021, compte root impossible à modifier dans Emergency Responder en 2023, identifiant administrateur statique noté 9,8 dans Smart Licensing Utility en septembre 2024, cinq comptes statiques Firepower un mois plus tard ⁶.

Le bilan joue dans les deux sens. Cisco identifie la faiblesse, livre des correctifs et publie des indicateurs de compromission ; un fournisseur qui passe ses propres produits au crible finit toujours par y découvrir des failles ⁶. Ce qui dérange, c'est l'ampleur : depuis novembre 2021, la CISA a recensé 90 vulnérabilités Cisco comme exploitées dans la nature, dont sept utilisées par des groupes de rançongiciel ².

Le même budget, d'autres prétendants

Celui qui paie, c'est le RSSI d'une entreprise ou d'un opérateur télécoms qui renouvelle ses contrats de sécurité auprès d'un fournisseur dont les rapports d'incident eux-mêmes désignent la porte d'entrée — et ce, sur un matériel qui vient de prendre une hausse de prix liée au coût de la mémoire ⁵⁶⁷. Le catalogue de la CISA recense 15 entrées d'identifiants codés en dur ou définis par défaut, chez 13 fournisseurs : l'herbe n'est pas forcément plus verte ailleurs ⁶.

En face, le pari est plus net. CrowdStrike et Palo Alto ont plus que doublé en six mois, au moment où s'amorce le mouvement boursier sur la cybersécurité dopée à l'IA : les deux valeurs s'échangent à environ 208 et 93,5 fois les bénéfices attendus, dans un marché que Gartner voit passer de 51,3 milliards de dollars cette année à 86 milliards de dollars en 2027 ⁹. CrowdStrike a affiché un record de nouveaux revenus récurrents annuels nets de 333 millions de dollars au dernier trimestre↗ ; côté Palo Alto, les revenus récurrents annuels de la sécurité nouvelle génération ont progressé de 63 %, à 9,10 milliards de dollars ⁹¹⁰.

Un raté, premier signal d'alerte

Rien n'établit encore de lien entre ces avis de sécurité et un renouvellement perdu ; ce point n'est pas démontré. La première donnée tangible sera la publication du premier trimestre de l'exercice 2027, à l'aune de la fourchette de 18,0 à 18,2 milliards de dollars annoncée par la direction↗ : un raté à ce rendez-vous serait le premier signal d'alerte sur les prévisions pour l'ensemble de l'exercice ⁸⁷.

D'ici là, le constat est sans appel : le mot de passe était dans le produit, et la prime est dans le cours.