CVE-2026-104935 : Ivanti Connect Secure zero-day CISA KEV

Les faits

Le 13 octobre 2026, Ivanti a divulgué CVE-2026-104935, une vulnérabilité critique affectant Ivanti Connect Secure, la solution VPN SSL largement déployée dans les entreprises mondiales. Cette faille, classée Authentication Bypass by Spoofing (CWE-290) avec un score CVSS v3.0 de 8.6, a été exploitée in-the-wild avant même sa divulgation officielle, faisant d'elle un zero-day avéré. La CISA a immédiatement ajouté CVE-2026-104935 à son catalogue Known Exploited Vulnerabilities (KEV) le 13 octobre 2026, confirmant que des cyberattaquants utilisent activement cette faille dans des campagnes de vol de credentials et d'exfiltration de données, d'après l'alerte CISA publiée le même jour.

CVE-2026-104935 est classée CWE-290 (Authentication Bypass by Spoofing). Le score CVSS v3.0 est 8.6 avec vecteur AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N. Cette vulnérabilité permet à un attaquant distant et non authentifié de contourner les mécanismes d'authentification d'Ivanti Connect Secure en usurpant l'identité d'une entité légitime lors du processus d'authentification. Une fois ce contournement réalisé, l'attaquant peut exécuter des commandes arbitraires sur le système sous-jacent de l'appliance.

Ivanti Connect Secure (anciennement Pulse Connect Secure) est une solution VPN SSL parmi les plus répandues en environnement d'entreprise. Elle constitue la passerelle d'accès à distance sécurisé pour les collaborateurs, les administrateurs et les partenaires accédant aux ressources internes. Cette position de périmètre réseau privilégiée en fait une cible de premier choix pour les acteurs malveillants : une compromission de la gateway VPN peut offrir un accès direct au réseau interne, contournant l'ensemble des défenses périmètriques et des contrôles d'accès réseau.

La root cause technique est liée à un mécanisme d'authentification défaillant dans le processus de vérification d'identité du composant Connect Secure. Par une technique de spoofing au niveau protocolaire ou applicatif, un attaquant peut se présenter comme une entité de confiance sans fournir de credentials légitimes. Les détails techniques du mécanisme exact de spoofing n'ont pas été publiés par Ivanti afin de limiter la prolifération de PoC pendant la phase de déploiement des correctifs. Rapid7 a publié une analyse ETR (Emerging Threat Response) le 13 octobre 2026 confirmant l'exploitation active et la criticité de la faille.

Ivanti a indiqué que l'exploitation in-the-wild avait déjà eu lieu avant la divulgation, affectant un nombre limité de clients connus. Ce schéma est caractéristique d'une exploitation ciblée initiale — probablement conduite par un acteur de menace avancée (APT) ou un groupe cybercriminel sophistiqué — avant que la vulnérabilité ne soit signalée aux équipes sécurité d'Ivanti. Ce pattern est cohérent avec les campagnes d'exploitation précédentes ciblant Ivanti Connect Secure, notamment celles documentées en 2024 et 2025 par des acteurs étatiques et des groupes ransomware exploitant des zero-days similaires (CVE-2024-21887, CVE-2025-0282).

Les versions affectées sont : Ivanti Connect Secure 25.1.1.1 et toutes les versions antérieures de la branche 25.1.1.x ; Ivanti Connect Secure 25.1.2.2 et toutes les versions antérieures de la branche 25.1.2.x ; et Ivanti Connect Secure 22.8R2.4 et toutes les versions antérieures de la branche 22.8R2.x. Les versions corrigées disponibles sont 25.1.1.2, 25.1.3.0, 25.1.3.1 et 22.8R2.5. Ivanti a publié ces correctifs simultanément à la divulgation le 13 octobre 2026, indiquant une coordination entre la découverte, l'analyse interne et le développement du patch.

La CISA, dans son alerte publiée le 13 octobre 2026 (CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure), indique que les cyberattaquants exploitent CVE-2026-104935 pour mener des opérations de vol de credentials et d'exfiltration de données. Ces objectifs correspondent au schéma classique d'exploitation des passerelles VPN : une fois l'accès à la gateway obtenu, les attaquants capturent des credentials VPN en transit, déploient des webshells persistants, ou pivotent directement vers le réseau interne pour conduire des reconnaissances approfondies et collecter des données sensibles. Selon l'analyse de Rapid7, la combinaison de l'absence d'authentification requise et de la capacité d'exécution de commandes arbitraires constitue un profil de compromission complète de l'appliance Connect Secure.

L'historique de sécurité d'Ivanti Connect Secure depuis 2024 est préoccupant : la plateforme a été la cible récurrente de zero-days exploités par des acteurs étatiques et des groupes cybercriminels. CVE-2026-104935 s'inscrit dans cette continuité et rappelle que les appliances VPN, par leur position stratégique en bordure de réseau et leur complexité logicielle, constituent une surface d'attaque prioritaire pour des acteurs avancés disposant des ressources nécessaires à la recherche de vulnérabilités zero-day. Les organisations utilisant Ivanti Connect Secure doivent non seulement appliquer le patch immédiatement, mais également revoir leur stratégie globale de sécurité pour ces équipements : segmentation, monitoring renforcé, rotation périodique des credentials et investigation de compromission potentielle antérieure.

Impact et exposition

CVE-2026-104935 affecte toutes les organisations utilisant des versions vulnérables d'Ivanti Connect Secure pour leur accès VPN SSL. Connect Secure est déployé dans des milliers d'entreprises dans tous les secteurs : gouvernement, défense, finance, santé, industrie. Compte tenu de l'exploitation active confirmée avant divulgation, les organisations utilisant des versions affectées doivent considérer qu'elles sont potentiellement déjà compromises si elles n'ont pas encore appliqué le correctif.

La condition d'exploitation — aucune authentification requise, accès réseau à l'interface Connect Secure — est particulièrement alarmante pour les appliances exposées directement sur Internet. Les interfaces d'administration et portails d'accès VPN Ivanti Connect Secure sont généralement accessibles depuis Internet par conception. L'absence de prérequis d'authentification signifie que toutes les appliances Connect Secure exposées en versions vulnérables sont des cibles immédiates. Des acteurs malveillants procèdent régulièrement au scan systématique des appliances Ivanti accessibles, comme documenté par les équipes Mandiant et Volexity lors des campagnes précédentes contre Connect Secure.

Les conséquences d'une exploitation réussie peuvent être catastrophiques : vol des credentials VPN de tous les utilisateurs récemment connectés, déploiement d'un implant persistant sur l'appliance, accès direct au réseau interne via la gateway compromise, et exfiltration silencieuse de données sensibles. Dans les scénarios les plus sévères documentés lors d'incidents similaires, des attaquants ont maintenu un accès persistant pendant des semaines avant détection, procédant à une reconnaissance approfondie et à une exfiltration massive de données propriétaires et de credentials Active Directory.

Recommandations immédiates

• Mettre à jour immédiatement Ivanti Connect Secure vers 25.1.1.2, 25.1.3.0, 25.1.3.1 ou 22.8R2.5 — advisory : Ivanti Security Advisory SA-2026-104935
• Si la mise à jour immédiate est impossible, isoler l'appliance d'Internet et utiliser des méthodes d'accès alternatives temporaires
• Effectuer une vérification d'intégrité de l'appliance via l'Ivanti Integrity Checker Tool (ICT) pour détecter d'éventuelles modifications malveillantes existantes
• Révoquer et renouveler tous les certificats et credentials associés à l'appliance Connect Secure
• Forcer une ré-authentification de tous les utilisateurs VPN et surveiller les connexions depuis des IPs ou géolocalisations inhabituelles
• Analyser les logs d'accès pour identifier des requêtes anormales vers des endpoints administratifs internes ou des patterns d'authentification inhabituels
• Consulter les IoC publiés par Rapid7 et la CISA dans leurs alertes respectives d'octobre 2026