CVE-2026-118527 : Ivanti Connect Secure triple chaîne zero-day RCE root

Les faits

Le 29 octobre 2026, Ivanti a publié des correctifs pour deux nouvelles vulnérabilités zero-day dans Connect Secure : CVE-2026-111357 et CVE-2026-118527. Ces deux failles, utilisées conjointement avec CVE-2026-104935 (corrigée le 13 octobre 2026), forment une chaîne d'exploitation permettant à un attaquant distant non authentifié d'obtenir une exécution de code arbitraire avec les droits root sur un appliance Ivanti Connect Secure entièrement patché jusqu'au 28 octobre 2026. La CISA a ajouté CVE-2026-118527 à son catalogue KEV avec une deadline de remédiation fédérale fixée au 13 novembre 2026.

CVE-2026-118527, pris isolément, est classé CVSS 4.3 (Medium). Il s'agit d'une faille de type identifiant prévisible (CWE-340) : un attaquant authentifié peut téléverser des fichiers à un emplacement disque dont le chemin peut être calculé à l'avance. Cette classification basse masque l'impact réel dans le contexte de la chaîne : CVE-2026-118527 joue le rôle de composant final permettant l'exécution de code, une fois que CVE-2026-104935 et CVE-2026-111357 ont été utilisées pour contourner l'authentification et gagner un accès initial au système.

La chaîne complète d'exploitation fonctionne ainsi : CVE-2026-104935 est un contournement d'authentification (authentication bypass) dans Connect Secure corrigé le 13 octobre 2026, qui permet d'accéder à des endpoints normalement protégés. CVE-2026-111357 exploite une condition de race dans le gestionnaire de session pour élever les privilèges et obtenir une position authentifiée sur le système. Enfin, CVE-2026-118527 permet d'écrire un fichier PHP malveillant à un chemin prévisible sur le disque de l'appliance, puis de l'exécuter via une requête HTTP directe. L'enchaînement aboutit à une exécution de code avec les droits root sur l'appliance VPN, sans aucune credential valide au départ.

La société Volexity, spécialisée en threat intelligence et en réponse aux incidents, a attribué l'exploitation de cette chaîne à l'acteur de menace UTA0576. Selon les rapports de Volexity et de SOCRadar, ce groupe exploitait déjà les trois CVE en chaîne dès le 1er octobre 2026, soit près d'un mois avant la publication des correctifs pour CVE-2026-111357 et CVE-2026-118527. La chaîne a été observée dans des attaques ciblées contre des organisations gouvernementales et des entreprises du secteur des technologies de l'information en Amérique du Nord et en Europe.

Les versions corrigées sont Ivanti Connect Secure 25.1.1.3 et 22.8R2.6, publiées le 29 octobre 2026. Ivanti a précisé qu'aucune mitigation alternative n'est disponible pour CVE-2026-111357 et CVE-2026-118527 : seule la mise à jour vers les versions corrigées constitue une remédiation efficace. Cette absence de workaround rend la mise à jour particulièrement urgente, notamment pour les organisations qui pratiquent habituellement une fenêtre de test avant déploiement des patches sur des équipements critiques comme les VPN d'accès distant.

Le service Shadowserver recense plus de 5 000 instances Ivanti Connect Secure directement exposées sur internet. Ce chiffre ne tient pas compte des instances partiellement exposées ou accessibles via des architectures DMZ. Les organisations qui ont appliqué le patch de CVE-2026-104935 le 13 octobre mais pas encore les patches du 29 octobre doivent comprendre qu'elles restaient vulnérables à la chaîne complète : la correction de CVE-2026-104935 seul ne protège pas contre CVE-2026-111357 et CVE-2026-118527 dans une attaque combinée.

Un élément supplémentaire préoccupant est la nature de l'accès obtenu. Une exécution root sur un appliance VPN donne à l'attaquant un accès privilégié non seulement à la configuration de l'équipement, mais également aux secrets cryptographiques utilisés pour les tunnels VPN, aux certificats d'authentification, et potentiellement aux credentials en transit des utilisateurs VPN. Des campagnes précédentes contre Ivanti Connect Secure (2024-2025) ont démontré que les attaquants installent des implants persistants qui survivent aux redémarrages et aux réinitialisations de configuration, selon les rapports de Volexity et de Mandiant/Google Threat Intelligence.

Ivanti Connect Secure (anciennement Pulse Secure) est une cible récurrente pour les acteurs sophistiqués. Le pattern se répète en 2026 : CVE-2026-104935 avait déjà été intégrée au catalogue KEV en octobre, et les deux nouvelles CVE confirment la détermination des acteurs de menace à exploiter systématiquement les équipements de périmètre réseau. D'après SecretCISO (newsletter du 3 novembre 2026), les incidents liés à la chaîne Ivanti ont contribué à des exfiltrations de données massives, avec un rapport mentionnant 77 millions d'adresses email exposées dans une campagne connexe.

Impact et exposition

Toute organisation utilisant Ivanti Connect Secure comme solution VPN d'accès distant doit considérer que son appliance est potentiellement compromis si la version corrigée 25.1.1.3 ou 22.8R2.6 n'a pas été appliquée avant le 29 octobre 2026. L'exploitation active remontant au 1er octobre 2026 selon Volexity implique une fenêtre d'exposition d'au moins 28 jours pendant laquelle un adversaire pouvait accéder sans authentification au système via la chaîne complète.

Les secteurs les plus ciblés par UTA0576 incluent les administrations publiques, les entreprises de défense, les institutions financières et les opérateurs d'infrastructures critiques. Ces organisations utilisent typiquement des solutions VPN d'entreprise comme Connect Secure pour sécuriser les accès distants. Une compromission de l'appliance VPN représente un accès initial idéal pour une intrusion de type APT visant l'exfiltration de données sensibles ou la préparation d'une attaque ransomware avec mouvement latéral dans le réseau interne.

La surface d'attaque effective dépasse les 5 000 instances directement exposées recensées par Shadowserver. Le patching seul ne suffit pas : les organisations doivent impérativement effectuer une analyse de compromission (Integrity Check Tool d'Ivanti) car des implants persistants peuvent avoir été déployés pendant la fenêtre d'exposition. Les sessions VPN actives établies pendant la période d'exposition (1-29 octobre 2026) doivent être considérées comme potentiellement compromises.

Recommandations immédiates

• Mettre à jour Ivanti Connect Secure vers la version 25.1.1.3 ou 22.8R2.6 — Ivanti Security Advisory IVN-2026-004
• Effectuer impérativement une analyse de compromission avec l'Integrity Check Tool (ICT) d'Ivanti avant et après le patch
• Révoquer et renouveler tous les certificats SSL et les clés d'authentification configurés sur l'appliance
• Forcer la réauthentification de tous les utilisateurs VPN et auditer les sessions actives pour détecter des connexions suspectes depuis le 1er octobre 2026
• Examiner les logs système à la recherche de fichiers PHP créés dans des chemins inhabituels et de requêtes HTTP vers des URLs non standard
• Isoler l'appliance du réseau si une compromission est confirmée et contacter Ivanti PSIRT avant remise en service
• Restreindre l'accès à l'interface d'administration aux seules adresses IP autorisées et activer le MFA pour tous les comptes administrateurs