En bref

  • CVE-2026-104935 (CVSS 8.6) : zero-day Ivanti Connect Secure — exécution de commandes sans auth, chaînable pour obtenir root complet via une seconde zero-day non encore patchée
  • Groupe UTA0576 exploite activement cette chaîne depuis mi-octobre 2026 — CERT-FR alerte CERTFR-2026-ALE-013, organisations françaises et européennes dans le périmètre
  • Mettre à jour vers ICS 25.1.1.2, 25.1.3.0 ou 22.8R2.5 et exécuter l'outil ICT d'Ivanti ; envisager l'isolement de l'appliance si le patch est impossible sous 24h

Les faits

Le 13 octobre 2026, Ivanti a publié un advisory de sécurité pour CVE-2026-104935, une vulnérabilité d'authentication bypass par spoofing (CWE-290) affectant Ivanti Connect Secure. Avec un score CVSSv3.0 de 8.6, cette faille permet à un attaquant distant non authentifié d'exécuter des commandes arbitraires sur la passerelle VPN SSL. La même journée, la CISA publiait une alerte urgente et Ivanti confirmait une exploitation active dans la nature. Le CERT-FR a suivi le lendemain avec l'alerte CERTFR-2026-ALE-013.

La particularité redoutable de cette vulnérabilité est qu'elle ne s'exploite pas isolément. Les chercheurs d'Aviatrix qui ont analysé les campagnes actives ont identifié que le groupe de menace UTA0576 enchaîne CVE-2026-104935 avec une seconde zero-day d'escalade de privilèges non encore divulguée publiquement. La chaîne complète permet d'obtenir un accès root sur des appareils Ivanti Connect Secure entièrement patchés avant le 13 octobre 2026. La progression va d'une requête web non authentifiée à un shell root en quelques étapes automatisées.

L'alerte CERTFR-2026-ALE-013 du 14 octobre 2026 mentionne explicitement que des compromissions touchant des organisations françaises et européennes ont été détectées, confirmant que les campagnes UTA0576 ne se limitent pas aux cibles anglophones. Les organisations françaises utilisant Ivanti Connect Secure comme passerelle VPN principale sont directement dans le collimateur de cet acteur.

Ivanti Connect Secure est un produit VPN SSL massivement déployé pour l'accès distant aux ressources internes. Sa position en frontal d'Internet, combinée à ses accès aux réseaux internes et aux credentials des utilisateurs, en fait une cible de choix pour les groupes d'espionnage. UTA0576 est suivi par Aviatrix : ses TTPs — sophistication technique, ciblage sectoriel orienté défense, énergie et secteur public, persistance furtive — sont compatibles avec un groupe d'espionnage étatique, bien que l'attribution nationale n'ait pas été officiellement confirmée.

Sur le plan technique, la faille réside dans la gestion par ICS des requêtes d'authentification du composant cgi-server. Une anomalie dans la validation du contexte d'origine permet de contourner l'authentification et d'exécuter des commandes dans le contexte de ce compte de service. Bien que ce compte ne soit pas root par défaut, il offre un accès suffisant pour déclencher la chaîne d'escalade de privilèges, conduisant à un accès root complet selon l'analyse de Rapid7 publiée le 15 octobre 2026.

Les versions affectées incluent Ivanti Connect Secure 25.1.1.1 et antérieures, 25.1.2.2 et antérieures, et 22.8R2.4 et antérieures. Des correctifs ont été publiés dans ICS 25.1.1.2, 25.1.3.0/25.1.3.1 et 22.8R2.5. Il est important de souligner que le correctif adresse CVE-2026-104935, la CVE divulguée, mais la situation concernant la seconde zero-day utilisée dans la chaîne d'escalade de privilèges est en cours d'investigation — un advisory complémentaire est attendu d'Ivanti.

L'historique d'Ivanti Connect Secure en matière de vulnérabilités critiques est préoccupant. En 2024, CVE-2024-21887 et CVE-2023-46805 avaient provoqué une vague d'exploitation massive par des groupes APT, conduisant la CISA à recommander la déconnexion physique des appliances Ivanti. En 2025, de nouvelles failles avaient à nouveau ciblé ICS. Cette répétition cyclique soulève des questions structurelles fondamentales sur l'architecture sécurité d'Ivanti et la pertinence de continuer à faire confiance à ces appliances pour protéger des accès réseau critiques.

Pour les organisations qui ont patché mais qui déploient Ivanti Connect Secure depuis plusieurs mois, la question n'est pas seulement "suis-je vulnérable aujourd'hui ?" mais "ai-je été compromis hier ?" UTA0576 est réputé pour ses techniques de persistance discrètes, notamment l'installation d'implants dans des zones de l'appliance qui survivent aux mises à jour de firmware et aux réinitialisations partielles. Un ICT propre n'est pas une garantie absolue d'absence de compromission.

Impact et exposition

Toute organisation utilisant Ivanti Connect Secure dans les versions affectées est exposée. La nature même du produit — exposé en permanence sur Internet — rend la surface d'exposition maximale. Une compromission réussie donne un accès root à la passerelle VPN, permettant l'interception des tunnels, l'extraction des credentials utilisateurs, le pivot vers le réseau interne et l'établissement d'une persistance difficile à détecter. Les organisations soumises à NIS2 ou DORA ont des obligations de notification en cas de compromission confirmée.

Recommandations

  • Mettre à jour immédiatement vers ICS 25.1.1.2, 25.1.3.0/25.1.3.1 ou 22.8R2.5 selon la version déployée
  • Exécuter l'outil ICT (Integrity Checker Tool) d'Ivanti avant et après le patch pour détecter des modifications de fichiers système
  • Réinitialiser tous les credentials VPN des utilisateurs et invalider les sessions actives après la mise à jour
  • Analyser les logs de connexion des 30 derniers jours pour détecter des sessions anormales ou connexions depuis des IP inconnues
  • Envisager une déconnexion temporaire de l'appliance si le patch ne peut être appliqué dans les 24 heures
  • Consulter CERTFR-2026-ALE-013 pour les IOC spécifiques aux campagnes UTA0576 identifiées

Alerte critique

CVE-2026-104935 est activement exploitée par UTA0576 dans une chaîne permettant l'accès root sans authentification. Le CERT-FR a émis CERTFR-2026-ALE-013 le 14 octobre 2026. Des organisations françaises figurent parmi les cibles identifiées. Action immédiate requise — en cas de compromission suspectée, isoler l'appliance avant toute mise à jour.

L'outil ICT d'Ivanti suffit-il à confirmer l'absence de compromission ?

L'Integrity Checker Tool d'Ivanti vérifie l'intégrité des fichiers système par rapport à une baseline connue — utile mais insuffisant contre des acteurs sophistiqués comme UTA0576, qui ciblent des zones mémoire volatiles ou nettoient leurs traces avant vérification ICT. Un résultat propre n'est pas une garantie absolue. En cas de suspicion d'activité malveillante, une investigation forensique complète par un prestataire qualifié PRIS est nécessaire avant de conclure à l'absence de compromission.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit