CVE-2026-104935 : Ivanti Connect Secure RCE sans auth CISA KEV

Les faits

Le 13 octobre 2026, Ivanti a divulgue CVE-2026-104935, une vulnerabilite critique dans Ivanti Connect Secure (ICS), sa solution de VPN SSL enterprise deployee dans des milliers d'organisations a travers le monde. La faille, un bypass d'authentification par spoofing (CWE-290), est cotee CVSS 3.1 a 8.6 (High). Elle permet a un attaquant distant sans aucun compte valide de contourner integralement le mecanisme d'authentification de l'appliance et d'executer des commandes arbitraires. Ivanti a simultanement confirme avoir connaissance d'exploitations actives contre un nombre limite de clients avant la divulgation. CISA a ajoute CVE-2026-104935 a son catalogue Known Exploited Vulnerabilities (KEV) le jour meme.

Techniquement, CVE-2026-104935 reside dans la facon dont le composant DSCGI (Dynamic Script CGI) de l'appliance traite l'en-tete HTTP X-DSCGI-PATH. Selon l'analyse publiee par WatchTowr, une seule requete HTTP avec un en-tete X-DSCGI-PATH forge suffit a bypasser l'authentification et a acceder a des fonctionnalites normalement reservees aux utilisateurs connectes et aux administrateurs. Le vecteur d'attaque est reseau, la complexite est faible, aucun privilege n'est requis et aucune interaction utilisateur n'est necessaire — le profil d'exploitation le plus favorable pour un attaquant.

La chaine d'exploitation complete, analysee par Kudelski Security Research Center, associe CVE-2026-104935 a une vulnerabilite de traversee de chemin secondaire pour aboutir a une execution de code arbitraire non authentifiee sur l'appliance. Cette chaine d'exploitations enchainees permet a l'attaquant d'etablir une presence persistante sur l'appliance VPN, un point strategique donnant acces a l'ensemble du reseau interne de l'organisation. Volexity, qui suit le groupe threat actor UTA0576, a documente des exploitations reelles de cette chaine des le 8 octobre 2026, soit cinq jours avant la divulgation officielle d'Ivanti, ce qui confirme un acces zero-day.

Le groupe UTA0576 (designation Volexity) est un acteur de menace avance dont les TTPs (Tactics, Techniques and Procedures) presentent des similitudes avec des groupes de cyberespionnage lies a des Etats-nations. Selon le rapport de Volexity publie le 13 octobre 2026 — intitule "A Series of Unauthenticated Events : Chained Exploitation of Ivanti Connect Secure Zero-Days" — les attaquants ont deploye des implants de persistance sur les appliances compromises ainsi que des outils de capture du trafic VPN pour intercepter les credentials des utilisateurs en transit. Le niveau de sophistication des outils de post-exploitation suggere un acteur organise avec des ressources importantes.

CVE-2026-104935 s'inscrit dans un historique preoccupant d'exploitations zero-day dans Ivanti Connect Secure. En 2024 et 2025, plusieurs vulnerabilites majeures avaient ete exploitees avant la disponibilite des patches, notamment CVE-2023-46805, CVE-2024-21887, CVE-2025-0282 et CVE-2025-22457. Les appliances VPN SSL sont des cibles privilegiees pour les acteurs de menace avances car elles sont exposees directement sur Internet et constituent le point d'entree strategique vers l'ensemble du reseau interne de l'organisation ciblee.

CISA, dans son alerte du 13 octobre 2026, a indique que CVE-2026-104935 etait activement exploitee et a impose aux agences federales americaines un delai de remediation au 3 novembre 2026 conformement a la directive BOD 22-01. CISA recommande a toutes les organisations utilisant Ivanti Connect Secure — qu'elles soient gouvernementales ou privees — d'appliquer les correctifs dans les memes delais en raison de la gravite de l'exploitation active observee.

Les versions affectees selon l'advisory Ivanti ISEC-2026-104935 sont : la branche 22.8.x (toutes les versions de 22.8.0 a 22.8R2.4), la version 25.1.1.1 sur les appliances materielles ISA6000 et ISA8000, et toutes les versions 25.1.2.2 et anterieures sur les autres plateformes. Les versions 22.7.x et anterieures ne sont pas affectees par cette vulnerabilite specifique. Les versions corrigees publiees par Ivanti sont : 25.1.1.2, 25.1.3.0, 25.1.3.1 et 22.8R2.5.

RunZero (outil de decouverte reseau) a publie des requetes permettant d'identifier les appliances Ivanti Connect Secure exposees sur Internet. Les organisations disposant d'acces a des outils de reconnaissance comme Shodan, Censys ou RunZero peuvent utiliser les fingerprints ICS pour auditer leur surface d'attaque externe et prioriser les appliances a patcher en urgence selon leur exposition publique directe.

Impact et exposition

Ivanti Connect Secure est deploye dans des milliers d'organisations a travers le monde, presente dans des secteurs critiques : gouvernemental, defense, sante, finance et infrastructure critique. En tant que passerelle VPN SSL, une appliance ICS compromise donne a l'attaquant une visibilite complete sur le reseau interne : trafic utilisateur, credentials VPN interceptes en transit, reseaux segmentes normalement inaccessibles depuis Internet, et systemes internes non exposes directement. La compromission d'une appliance VPN constitue un acces initial de niveau critique dans le framework MITRE ATT&CK (TA0001, T1133).

Les conditions d'exploitation sont particulierement alarmantes : CVE-2026-104935 ne necessite aucun compte valide, aucune interaction utilisateur, et peut etre exploitee depuis n'importe quel acces reseau a l'appliance (generalement port 443 HTTPS expose par definition sur Internet pour permettre les connexions VPN distantes). L'exploitation est entierement silencieuse du point de vue des utilisateurs finaux et ne genere pas de log d'authentification echec visible dans les tableaux de bord classiques.

L'exposition est aggravee par la nature meme des appliances VPN : elles sont le plus souvent exposees directement sur Internet sans WAF devant elles, traitent des volumes importants de connexions legitimes qui peuvent masquer les tentatives d'exploitation dans les logs, et leur mise a jour necessite une fenetre de maintenance planifiee pouvant prendre plusieurs jours dans les grandes organisations.

Recommandations immediates

• Mettre a jour Ivanti Connect Secure vers les versions corrigees : 25.1.1.2, 25.1.3.0, 25.1.3.1 ou 22.8R2.5 — advisory Ivanti ISEC-2026-104935
• Si la mise a jour immediate est impossible : restreindre les acces entrants non essentiels et auditer les appliances a la recherche d'implants de persistance
• Executer l'outil ICT (Integrity Checker Tool) fourni par Ivanti sur toutes les appliances exposees sur Internet pour detecter une compromission eventuelle
• Surveiller les indicateurs de compromission publies par Volexity (rapport UTA0576) : presence de fichiers non standard dans /data/runtime/etc/, modifications des certificats d'appliance
• Forcer la rotation des credentials VPN pour tous les utilisateurs ayant ete connectes via des appliances potentiellement exposees depuis le 8 octobre 2026
• Activer les logs d'acces aux en-tetes HTTP pour detecter les requetes avec en-tete X-DSCGI-PATH anormal caracteristique de l'exploitation