CISA : patch d'urgence Ivanti EPMM avant le 11 avril

Ce qui s'est passé

L'agence américaine de cybersécurité CISA a ajouté lundi la vulnérabilité CVE-2026-1340 à son catalogue des vulnérabilités exploitées connues (KEV). Cette injection de code touchant Ivanti Endpoint Manager Mobile (EPMM) permet à un attaquant non authentifié d'obtenir une exécution de code à distance sur les appliances exposées sur Internet, puis de pivoter vers les terminaux administrés. Ivanti EPMM faille critique : l'éditeur a publié un correctif ainsi qu'un contournement temporaire, et confirme des exploitations actives en conditions réelles. La directive opérationnelle BOD 22-01 impose aux agences fédérales civiles d'appliquer le patch avant le 11 avril, sous peine de devoir déconnecter les instances vulnérables. Les entreprises privées sont invitées à suivre le même calendrier : l'accès administrateur offert par cette vulnérabilité expose l'ensemble du parc mobile, des identifiants et des politiques de sécurité gérés par la console.

Ivanti avait déjà publié des correctifs de sécurité le 29 janvier 2026 pour cette faille ainsi que pour une seconde vulnérabilité associée, CVE-2026-1281. L'éditeur avait alors « fortement encouragé » ses clients à mettre à jour immédiatement, signalant que les deux failles étaient déjà exploitées comme zero-days. Malgré cet avertissement, de nombreuses instances restent vulnérables plus de deux mois après la publication du patch, d'après les données de la communauté de recherche en sécurité.

La CISA a désormais référencé 33 vulnérabilités Ivanti dans son catalogue KEV, dont 12 ont été utilisées par des opérateurs de ransomware. Selon BleepingComputer, 83 % des tentatives d'exploitation observées en février provenaient d'une seule adresse IP hébergée sur une infrastructure bulletproof, ce qui suggère une campagne coordonnée et persistante.

Pourquoi c'est important

Ivanti EPMM est utilisé par des milliers d'organisations pour gérer les appareils mobiles de leurs collaborateurs. Une compromission de cette plateforme donne un accès direct au réseau interne et aux données des terminaux gérés. Le fait que la faille soit exploitée depuis janvier sans que toutes les instances soient patchées illustre un problème récurrent : le décalage entre la publication d'un correctif et son application effective. Pour les organisations françaises soumises à NIS2, ce type de vulnérabilité activement exploitée doit déclencher une réponse immédiate dans le cadre de la gestion des risques.

Ce qu'il faut retenir

• Patcher immédiatement Ivanti EPMM si vous utilisez ce produit — la faille CVE-2026-1340 est activement exploitée.
• Vérifier les journaux d'accès de vos appliances EPMM pour détecter d'éventuelles compromissions depuis janvier.
• Intégrer les flux KEV de la CISA à votre processus de gestion des vulnérabilités pour prioriser les correctifs critiques.

Cette CVE s'inscrit dans un historique préoccupant pour Ivanti, dont les produits d'accès distant et de gestion de terminaux ont concentré une part disproportionnée des exploitations zero-day observées depuis 2023. Les incidents Ivanti Connect Secure et Policy Secure (CVE-2023-46805, CVE-2024-21887) avaient déjà démontré la capacité d'acteurs étatiques, notamment liés à la Chine, à chaîner plusieurs failles pour obtenir une persistance durable sur les réseaux compromis. Le schéma se répète avec CVE-2026-1340 : une vulnérabilité d'injection de code exploitée en conditions réelles avant même la publication du correctif, suivie d'une adoption lente des patchs par les clients.

Sur le plan technique, la faille repose sur une validation insuffisante des entrées dans un composant d'administration d'EPMM, permettant à un attaquant d'injecter des commandes système sans disposer d'identifiants valides. Le score CVSS attribué avoisine 9.8 sur 10, reflétant la combinaison d'un vecteur réseau, d'une absence d'authentification requise et d'un impact total sur la confidentialité, l'intégrité et la disponibilité du système. Les versions concernées incluent l'ensemble des builds EPMM antérieurs aux correctifs de janvier 2026 ; Ivanti recommande la mise à jour vers les versions 12.6.0.1 ou supérieures selon la branche déployée.

Mitigation en attendant le patch

• Restreindre l'accès à la console d'administration EPMM aux seules adresses IP internes via pare-feu ou VPN.
• Désactiver temporairement les interfaces exposées sur Internet si la mise à jour ne peut être appliquée avant le 11 avril.
• Surveiller les journaux pour toute requête anormale vers les endpoints d'administration, en particulier depuis des plages IP associées à des hébergeurs bulletproof.
• Déployer les signatures de détection IDS/IPS publiées par Ivanti et les éditeurs tiers (Snort, Suricata) pour repérer les tentatives d'exploitation connues.

L'ampleur de la campagne observée — avec une concentration de 83 % des tentatives depuis une seule adresse IP selon BleepingComputer — suggère un acteur unique menant une reconnaissance à grande échelle plutôt qu'une exploitation opportuniste diffuse. Ce profil est cohérent avec les tactiques documentées par Mandiant et CrowdStrike lors des campagnes précédentes contre les produits Ivanti, où les groupes d'attaquants scannent systématiquement Internet à la recherche d'instances non corrigées avant de déployer des charges utiles secondaires, y compris des webshells persistants capables de survivre à un correctif appliqué a posteriori.

Pour le secteur, cet épisode renforce l'argument en faveur d'une gestion des vulnérabilités fondée sur le risque plutôt que sur un cycle de patch classique. Les organisations disposant d'un programme de gestion des vulnérabilités mature auraient dû identifier et isoler les instances EPMM exposées dès l'alerte initiale de janvier, indépendamment du calendrier de patch fédéral américain. En France, l'ANSSI a également relayé cette alerte via son bulletin CERT-FR, invitant les entités régulées à traiter cette CVE avec la même priorité que les agences fédérales américaines, même en l'absence d'obligation légale directe.