Ivanti Connect Secure : CERT-FR alerte sur 3 failles exploitées, isolation immédiate

Les faits

Le CERT-FR a publié le 2 novembre 2026 l'alerte CERTFR-2026-ALE-013 concernant trois vulnérabilités dans Ivanti Connect Secure et Ivanti Policy Secure. L'éditeur américain a confirmé que ces failles font l'objet d'une exploitation active dans la nature au moment de la publication des patches. Cette alerte est classée prioritaire par le CERT-FR, qui recommande une action immédiate de la part des organisations françaises utilisant ces produits.

Ivanti Connect Secure est une solution de VPN SSL/TLS très répandue dans les entreprises et les administrations. Elle permet aux utilisateurs de se connecter à distance aux ressources internes du SI. En raison de son positionnement en bordure de réseau — exposée directement sur Internet pour permettre les connexions distantes — elle constitue une cible de premier choix pour les attaquants. Les compromissions d'Ivanti Connect Secure ont régulièrement été associées à des acteurs APT étatiques depuis 2024.

Les trois vulnérabilités visées par l'alerte CERTFR-2026-ALE-013 n'ont pas toutes été intégralement détaillées dans la divulgation publique initiale, pratique courante pour limiter la fenêtre d'exploitation avant que les organisations ne puissent patcher. Ce que l'on sait : au moins une des failles permet une exécution de code à distance pré-authentification, et une autre permet une élévation de privilèges après un premier point de compromission. Le vecteur réseau expose directement les points de terminaison VPN accessibles depuis Internet.

L'historique d'Ivanti Connect Secure en matière de vulnérabilités est préoccupant. Début 2024, les CVE-2023-46805 et CVE-2024-21887 avaient mis l'ensemble de l'écosystème en alerte maximale : des milliers d'équipements avaient été compromis avant même que les patches soient disponibles, notamment par des groupes APT liés à la Chine dont Volt Typhoon. En 2025, de nouvelles chaînes d'exploitation avaient à nouveau ciblé la solution. L'alerte de novembre 2026 s'inscrit donc dans un pattern persistant qui devrait conduire les organisations dépendant d'Ivanti à sérieusement réévaluer leur stratégie de VPN.

Le CERT-FR précise dans son alerte que si une compromission est suspectée, les organisations doivent en priorité isoler l'équipement Ivanti du reste du SI, préserver les journaux d'accès dans leur intégralité, et procéder à une analyse forensique à la recherche de mouvements latéraux. Cette recommandation est particulièrement importante car les attaquants qui compromettent un VPN concentrateur ont potentiellement accès à l'ensemble des ressources internes que les utilisateurs distants peuvent atteindre — ce qui dans beaucoup d'organisations inclut l'Active Directory, les applications métier critiques et les systèmes industriels.

Les indicateurs de compromission (IoC) associés à CERTFR-2026-ALE-013 incluent des patterns d'accès inhabituels dans les journaux web d'Ivanti, des tentatives d'accès à des endpoints administratifs non exposés normalement, et la présence de web shells dans les répertoires temporaires de l'appliance. Ivanti a également publié un outil d'intégrité (Integrity Checker Tool) qui permet de vérifier si les fichiers système de l'appliance ont été modifiés.

Les secteurs les plus exposés en France sont ceux qui ont massivement déployé Ivanti Connect Secure lors de la généralisation du télétravail en 2020-2021 : administrations centrales et déconcentrées, établissements de santé, collectivités territoriales et grandes entreprises avec des politiques de travail hybride étendues. Ces organisations doivent traiter cette alerte en urgence, indépendamment de leur niveau habituel de maturité cyber.

Côté threat intelligence, plusieurs groupes APT ont historiquement ciblé Ivanti Connect Secure lors de cycles d'exploitation précédents. Les groupes UNC5325 (nexus Chine) et UNC4841 (également nexus Chine) ont été documentés par Mandiant dans des campagnes d'exploitation d'Ivanti en 2024 et 2025. Sans préjuger des acteurs derrière les exploitations actuelles, le profil d'Ivanti Connect Secure comme cible attire typiquement des acteurs motivés par l'espionnage (accès aux SI d'organisations gouvernementales et de défense) et par le déploiement de ransomware (accès à des SI d'entreprise sans MFA robuste).

Impact et exposition

Toutes les organisations utilisant Ivanti Connect Secure ou Ivanti Policy Secure dans des versions non patchées sont exposées, quel que soit leur secteur d'activité. Le risque est maximal pour les organisations dont le VPN Ivanti est l'unique ou principal vecteur d'accès distant et pour lesquelles une compromission initiale pourrait rapidement se transformer en accès complet au SI interne. Les organisations sans MFA robuste sur leur passerelle VPN sont particulièrement vulnérables.

Recommandations

• Appliquer immédiatement les patches Ivanti publiés en accompagnement de l'alerte CERTFR-2026-ALE-013 — consulter le portail de sécurité Ivanti pour les versions corrigées
• Exécuter l'Ivanti Integrity Checker Tool pour détecter toute modification des fichiers système
• Analyser les logs d'accès des 30 derniers jours à la recherche de patterns anormaux : accès depuis des IP inhabituelles, tentatives d'accès aux endpoints d'administration
• Si compromission confirmée ou fortement suspectée : isoler l'équipement, préserver les logs, contacter le CERT-FR et déclencher votre plan de réponse à incident
• Renforcer le MFA sur toutes les connexions VPN — un second facteur solide limite considérablement la portée d'une exploitation
• Évaluer des alternatives de segmentation : Zero Trust Network Access (ZTNA) réduit l'exposition en remplaçant le VPN concentrateur par des accès applicatifs individuels