## En bref - CVE-2026-111357 (CVSS 8.8) : faille "missing authentication for critical function" dans Ivanti Connect Secure, permet à un attaquant local authentifié d'escalader ses privilèges - Versions affectées : Ivanti Connect Secure 25.1.1.2 et antérieures, 25.1.2.2 et antérieures, 22.8R2.5 et antérieures - Ajoutée au CISA KEV le 30 octobre 2026 ; délai imposé aux agences fédérales US : 2 novembre 2026 — correctif disponible depuis le 29 octobre ## Les faits Le 29 octobre 2026, Ivanti met à jour son [bulletin de sécurité](/glossaire/bulletin-de-securite) pour CVE-2026-104935, y incluant deux nouvelles vulnérabilités : CVE-2026-111357 et CVE-2026-118527. La première, CVE-2026-111357, est une "missing authentication for critical function" — une fonction sensible du produit ne vérifiant pas correctement l'authentification du demandeur. Son score CVSS v3.1 est de 8.8, catégorie haute. Ivanti Connect Secure est une solution d'accès réseau zero-[trust](/glossaire/trust-relation-confiance) largement déployée en entreprises et administrations pour sécuriser les accès VPN SSL. Ce positionnement stratégique — passerelle d'entrée vers les SI internes — en fait une cible de premier ordre pour les attaquants sophistiqués. Les produits Ivanti ont été ciblés de manière répétée par des acteurs étatiques en 2025-2026 ; CVE-2026-111357 s'inscrit dans cette tendance préoccupante. Concrètement, CVE-2026-111357 permet à un attaquant local authentifié d'élever ses privilèges sur l'équipement Ivanti. Cette capacité d'escalade est classique dans les chaînes d'exploitation multi-étapes : l'attaquant commence par un accès limité (via [phishing](/glossaire/phishing), [credential stuffing](/glossaire/credential-stuffing-bourrage), ou exploitation d'une autre CVE), puis utilise CVE-2026-111357 pour obtenir des droits administrateur et installer des backdoors persistants. Le 30 octobre 2026, la CISA ajoute CVE-2026-111357 et CVE-2026-118527 à son catalogue KEV (Known Exploited Vulnerabilities). L'inscription au KEV confirme des preuves d'exploitation dans la nature. Pour les agences fédérales américaines soumises à la directive BOD 22-01, l'obligation de corriger CVE-2026-111357 est fixée au 2 novembre 2026 — soit deux jours après l'inscription — témoignant de l'urgence évaluée. CVE-2026-118527 (CVSS 4.3) a un délai fixé au 13 novembre 2026. CVE-2026-111357 peut être chaînée avec CVE-2026-104935 et CVE-2026-118527 pour constituer une chaîne d'exploitation complète. CVE-2026-104935 est une vulnérabilité distincte déjà documentée dans les versions antérieures du même produit. La combinaison de ces trois CVE dans un vecteur d'attaque cohérent est particulièrement préoccupante et explique la réactivité de la CISA. Les versions affectées sont précisément Ivanti Connect Secure 25.1.1.2 et antérieures (branche 25.1.1.x), 25.1.2.2 et antérieures (branche 25.1.2.x), et 22.8R2.5 et antérieures (branche 22.8R2.x). Les correctifs sont disponibles depuis le 29 octobre 2026 : versions 25.1.1.3, 25.1.2.3, et 22.8R2.6 selon la branche déployée. Ce n'est pas la première fois qu'Ivanti Connect Secure est sous les feux des critiques. En janvier 2025, deux zero-days avaient été exploités par des acteurs supposément liés à la Chine (UNC5221) pour compromettre des milliers d'instances mondiales. En 2026, les produits Ivanti ont de nouveau été ciblés à plusieurs reprises, poussant la CISA à publier des alertes répétées et des délais de patch de plus en plus courts. Pour de nombreux RSSI, Ivanti est devenu synonyme de risque d'exposition en périphérie de réseau. En France, le [CERT-FR](/glossaire/cert-fr) n'avait pas encore publié de bulletin spécifique à cette date, mais les entités françaises utilisant Ivanti Connect Secure sont concernées au même titre. Les secteurs les plus exposés sont les collectivités territoriales ayant déployé des solutions VPN SSL pour le télétravail, ainsi que les ETI et grandes entreprises dont l'accès distant repose sur Ivanti. ## Impact et exposition CVE-2026-111357 est exploitable par un attaquant disposant d'un accès local authentifié — typiquement après une première compromission de compte. Les environnements les plus exposés sont ceux où des comptes Ivanti sont mutualisés entre plusieurs administrateurs ou partagés avec des prestataires externes. L'exploitation dans un contexte de double facteur (MFA) reste possible si CVE-2026-104935 est utilisée en précurseur pour contourner l'authentification initiale. ## Recommandations - Patcher Ivanti Connect Secure vers 25.1.1.3, 25.1.2.3 ou 22.8R2.6 immédiatement — correctif disponible depuis le 29 octobre 2026 - Auditer les journaux d'accès Ivanti pour détecter des tentatives d'escalade de privilèges depuis début octobre 2026 - Renforcer l'isolation des comptes Ivanti : authentification forte, principe du moindre privilège, rotation des credentials - Surveiller les indicateurs de compromission publiés par la CISA et les threat feeds liés à Ivanti Connect Secure - Envisager une segmentation réseau supplémentaire autour des équipements Ivanti en attendant la confirmation de l'application du patch ### CVE-2026-111357 nécessite-t-elle un accès physique ou un accès réseau suffit-il ? La CVE requiert un accès "local authentifié" : l'attaquant doit avoir préalablement obtenu un accès au système Ivanti Connect Secure, via un compte légitime compromis, une session active volée, ou une autre vulnérabilité exploitée en amont. L'accès physique n'est pas requis. Dans les scénarios d'attaque réels recensés, cette faille est utilisée comme second étage après une compromission initiale de compte VPN ou une exploitation de CVE-2026-104935. ### Votre infrastructure est-elle exposée ? Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées. [Demander un audit](#)