CVE-2026-111357 : Ivanti Connect Secure chaîne KEV CISA

Les faits

Le 30 octobre 2026, la CISA (Cybersecurity and Infrastructure Security Agency) a officiellement ajouté deux nouvelles vulnérabilités dans Ivanti Connect Secure à son catalogue des vulnérabilités activement exploitées (Known Exploited Vulnerabilities, KEV). Il s'agit de CVE-2026-111357 et CVE-2026-118527, deux failles intrinsèquement liées entre elles et à une troisième vulnérabilité, CVE-2026-104935, déjà intégrée au KEV le 13 octobre 2026. Cette mise à jour s'accompagne d'une directive d'action urgente imposant aux agences civiles fédérales américaines (FCEB) de corriger CVE-2026-111357 avant le 2 novembre 2026 — soit aujourd'hui même — et CVE-2026-118527 avant le 13 novembre.

CVE-2026-111357 est une vulnérabilité d'authentification manquante pour une fonction critique (CWE-306 : Missing Authentication for Critical Function). Scorée 8.8 sur l'échelle CVSS v3.1 selon Ivanti, elle permet à un attaquant local authentifié d'opérer une élévation de privilèges jusqu'à l'accès root sur l'appliance. Dans le contexte de la chaîne d'exploitation documentée par Volexity, cette faille est enchaînée avec CVE-2026-104935, un contournement d'authentification préalable qui confère à l'attaquant non authentifié un accès initial. Une fois ce premier palier franchi, CVE-2026-111357 permet d'escalader les droits système. L'entrée NVD score cette faille à 7.0 en CVSS v3.1, soulignant une légère divergence avec l'évaluation Ivanti, mais le vecteur d'attaque reste clairement sévère dans le cadre de la chaîne complète.

CVE-2026-118527 est une vulnérabilité de génération d'identifiants prévisibles ou aléatoirement insuffisants (CWE-340 : Generation of Predictable Numbers or Identifiers). Scorée 4.3 par Ivanti, elle paraît moins critique prise isolément, mais s'inscrit dans la même chaîne d'exploitation : après avoir obtenu un accès via CVE-2026-104935 et élevé ses privilèges via CVE-2026-111357, l'attaquant exploite CVE-2026-118527 pour uploader des fichiers arbitraires sur l'appliance. Cette capacité d'upload de fichiers contrôlés par l'attaquant constitue un vecteur d'exécution de code arbitraire à distance, complétant la chaîne d'attaque.

Les versions affectées sont Ivanti Connect Secure en version 25.1.1.2 et antérieures, ainsi que 22.8R2.5 et antérieures. Ivanti Policy Secure est également mentionné dans les advisories comme potentiellement concerné. Les versions corrigées sont 25.1.1.3 (pour la branche 25.x) et 22.8R2.6 (pour la branche 22.8R2.x). Il est à noter qu'Ivanti ne publie aucune mitigation ou workaround pour CVE-2026-111357 ni pour CVE-2026-118527 : la seule mesure de remédiation officielle est la mise à jour vers les versions corrigées.

La société de renseignement sur les menaces Volexity a été la première à documenter l'exploitation active de cette chaîne. Ses chercheurs ont observé des campagnes ciblant des appliances Ivanti Connect Secure exposées sur Internet, exploitant CVE-2026-104935 pour obtenir un accès initial, puis enchaînant CVE-2026-111357 et CVE-2026-118527 pour établir une persistance avec des droits élevés. Volexity a publié des indicateurs de compromission (IoC) issus de ses investigations, permettant aux équipes de sécurité de rechercher des signes d'infection dans leurs environnements. Ces IoC comprennent des hachages de fichiers malveillants déposés et des patterns d'accès réseau anormaux caractéristiques de l'exploitation.

Ivanti Connect Secure (anciennement Pulse Connect Secure) est une solution VPN SSL très répandue dans les entreprises et administrations du monde entier. Sa popularité en fait une cible de choix pour les acteurs malveillants étatiques et les groupes de ransomware, comme en témoignent les multiples vulnérabilités critiques découvertes dans ce produit depuis 2019. La présence de ces appliances en bordure de réseau, exposées directement sur Internet, amplifie considérablement le risque : une exploitation réussie permet un accès direct au réseau interne de l'organisation victime, contournant potentiellement l'ensemble des contrôles de sécurité périmétriques.

La chronologie de la découverte est la suivante : CVE-2026-104935 a été découverte et signalée début octobre 2026, avec une alerte CISA publiée le 13 octobre. Ivanti a mis à jour son advisory le 29 octobre 2026 pour y inclure CVE-2026-111357 et CVE-2026-118527, reconnaissant que ces deux failles supplémentaires faisaient partie de la même chaîne d'attaque observée dans la nature. Le 30 octobre, la CISA a officialisé l'ajout des deux nouveaux CVE au catalogue KEV et imposé des délais de remédiation extrêmement contraints : moins de 3 jours pour CVE-2026-111357, témoignant de la gravité perçue par les autorités américaines.

D'un point de vue technique, CVE-2026-111357 exploite l'absence de vérification d'authentification sur certains endpoints de l'API interne d'Ivanti Connect Secure. Un attaquant déjà positionné sur le système peut appeler directement ces endpoints sans présenter de jeton d'autorisation valide pour les opérations privilégiées, ce qui lui permet d'exécuter des commandes avec les droits root. CVE-2026-118527, en permettant la prédiction ou la manipulation d'identifiants de session ou de fichier, facilite quant à elle le dépôt de charges malveillantes persistantes dans des chemins exécutés au démarrage ou lors d'opérations administratives de l'appliance, garantissant à l'attaquant une persistance résistante aux redémarrages.

Cette chaîne de trois CVE illustre un pattern d'attaque sophistiqué fréquemment observé contre les équipements réseau : contournement d'authentification initial (CVE-2026-104935) combiné à une élévation de privilèges locale (CVE-2026-111357) et à un mécanisme de persistance (CVE-2026-118527). La combinaison de ces trois vecteurs permet à un attaquant sans aucun accès préalable d'obtenir un contrôle total et persistant de l'appliance VPN, lui offrant une position d'interception idéale pour les communications d'entreprise. Ce type de chaîne multi-étapes est caractéristique des opérations APT sophistiquées ciblant les équipements de bordure réseau.

Impact et exposition

Ivanti Connect Secure est déployé dans des milliers d'organisations à travers le monde, notamment dans les secteurs de la défense, de la finance, de la santé et des administrations publiques. Toute organisation utilisant Ivanti Connect Secure en version 25.1.1.2 ou antérieure, ou 22.8R2.5 ou antérieure, est directement exposée. La condition d'exploitation principale est que l'appliance soit accessible depuis Internet — ce qui est le cas pour la grande majorité des déploiements VPN SSL.

L'exploitation active confirmée par Volexity et reconnue par la CISA dans son catalogue KEV signifie que des attaquants ont déjà compromis des cibles réelles. Le délai fédéral imposé pour CVE-2026-111357 expire aujourd'hui même (2 novembre 2026). L'enchaînement des trois CVE crée un vecteur d'attaque complet sans authentification préalable : contournement initial → élévation root → persistance via upload de fichiers.

Les organisations n'ayant pas encore appliqué le patch pour CVE-2026-104935 se trouvent dans une situation particulièrement critique, l'ensemble de la chaîne d'exploitation étant alors accessible à un attaquant non authentifié. Les acteurs malveillants ciblant Ivanti Connect Secure incluent des groupes APT étatiques ainsi que des groupes de ransomware opportunistes.

Recommandations immédiates

• Mettre à jour Ivanti Connect Secure vers la version 25.1.1.3 ou 22.8R2.6 sans délai — advisory Ivanti Security Advisory ICS-2026-10-29
• Vérifier si CVE-2026-104935 a préalablement été corrigé ; si non, traiter en urgence absolue
• Consulter les IoC publiés par Volexity et effectuer une recherche de compromission dans les logs de l'appliance
• Isoler temporairement les appliances non patchées de l'exposition Internet en attendant la mise à jour
• Activer la journalisation complète des connexions VPN et surveiller les accès à des endpoints administratifs inhabituels
• Vérifier l'intégrité du système de fichiers des appliances pour détecter d'éventuels fichiers déposés par un attaquant