Ivanti : 3 failles exploitées, alerte CERTFR-2026-ALE-013

Les faits

Le CERT-FR a publié le 2 novembre 2026 l'alerte opérationnelle CERTFR-2026-ALE-013 concernant trois vulnérabilités dans Ivanti Connect Secure et Policy Secure, activement exploitées selon l'éditeur lui-même. Ces failles permettent respectivement une exécution de code à distance (RCE), une élévation de privilèges et un contournement des politiques de sécurité configurées sur ces appliances VPN SSL.

Ivanti a confirmé dans son advisory de sécurité du 1er novembre 2026 que ces vulnérabilités sont exploitées à l'état sauvage. La société ne précise pas le nombre de systèmes compromis ni l'identité des acteurs de la menace, mais les indicateurs techniques suggèrent une campagne ciblée — cohérente avec les opérations d'espionnage associées à des groupes APT ayant historiquement ciblé les appliances VPN Ivanti depuis 2023.

Ce n'est pas la première alerte de niveau critique sur Ivanti Connect Secure. Entre janvier et mars 2024, les CVE-2023-46805, CVE-2024-21887 et CVE-2024-21893 avaient été massivement exploitées par des acteurs APT — notamment UNC5325, lié à la Chine selon Mandiant — ciblant les secteurs gouvernemental, défense et infrastructures critiques. CISA avait émis une directive d'urgence ED 24-01 ordonnant aux agences fédérales américaines de déconnecter leurs appliances Ivanti. En 2025, de nouvelles failles avaient encore conduit à des alertes similaires.

Les trois vulnérabilités annoncées en novembre 2026 couvrent la chaîne complète d'exploitation : une première faille pré-authentification permet d'exécuter du code arbitraire sur l'appliance, une deuxième permet d'élever les privilèges pour obtenir un accès root, et une troisième contourne les contrôles de politique de sécurité — notamment les restrictions de flux et les règles de filtrage interne. Cette chaîne offre à un attaquant un accès complet à l'appliance sans aucun identifiant valide.

Le vecteur d'attaque est réseau, sans authentification préalable. Ivanti Connect Secure est un concentrateur VPN SSL très répandu dans les entreprises et administrations pour permettre l'accès distant sécurisé aux ressources internes. Ces équipements sont exposés sur Internet par conception — ils constituent donc une cible de choix pour les acteurs cherchant à s'infiltrer dans des réseaux d'entreprise sans passer par des postes de travail utilisateur.

Le CERT-FR a mis à jour son alerte le 5 novembre 2026 avec des indicateurs de compromission (IOC) supplémentaires et une procédure de réponse à incident détaillée. En cas de compromission suspectée, les recommandations sont : isoler immédiatement l'équipement du réseau, préserver les journaux (logs) pour analyse forensique, puis investiguer d'éventuels mouvements latéraux vers les ressources internes accessibles via le VPN. Une réinitialisation de l'appliance sans extraction préalable des logs efface les preuves nécessaires à l'investigation.

Pour les organisations utilisant Ivanti Connect Secure, le risque est double : non seulement l'appliance est compromise, mais un attaquant qui en prend le contrôle dispose d'une position idéale pour intercepter les identifiants des utilisateurs VPN, injecter du trafic vers les ressources internes, et effectuer un mouvement latéral dans l'ensemble du SI. Les logs des appliances Ivanti ont historiquement été effacés ou falsifiés par des attaquants sophistiqués pour masquer les traces d'intrusion.

Ivanti a publié des patches le 2 novembre 2026 pour toutes les versions affectées. Les organisations qui ne peuvent pas appliquer le patch immédiatement doivent mettre en place des règles de pare-feu restrictives pour limiter l'accès à l'interface d'administration, activer la surveillance renforcée des connexions VPN, et réviser les logs des 30 derniers jours à la recherche d'anomalies. L'alerte CERTFR-2026-ALE-013 fournit des IOC spécifiques à rechercher dans les journaux d'accès et les fichiers système.

Impact et exposition

Ivanti Connect Secure est déployé dans des milliers d'organisations en France et en Europe — administrations, grandes entreprises, établissements de santé, opérateurs d'importance vitale. Tous les déploiements non patchés au 5 novembre 2026 sont à considérer comme potentiellement compromis. Les organisations du secteur public français sont particulièrement concernées par l'alerte CERTFR-2026-ALE-013, qui impose des délais de mise en conformité stricts pour les OIV et les opérateurs de services essentiels.

Recommandations

• Patcher immédiatement : appliquer les mises à jour Ivanti publiées le 2 novembre 2026 pour Connect Secure et Policy Secure — disponibles sur le portail Ivanti. Ne pas reporter même si la fenêtre de maintenance n'est pas idéale.
• Vérifier les indicateurs de compromission : consulter les IOC fournis dans CERTFR-2026-ALE-013 sur cert.ssi.gouv.fr et les comparer avec vos logs d'accès et journaux système des 30 derniers jours.
• En cas de suspicion de compromission : isoler l'appliance du réseau, préserver les journaux (ne pas réinitialiser avant extraction forensique), puis contacter votre CSIRT ou prestataire de réponse à incident qualifié PRIS.
• Renforcer la surveillance : exporter les logs Ivanti vers un SIEM externe, activer des alertes sur connexions hors-heures, pics de transfert et accès depuis des géolocalisations inhabituelles.