En bref

  • Trois CVE enchaînaes (CVE-2026-104935, CVE-2026-111357, CVE-2026-118527) permettent un accès root non authentifié sur Ivanti Connect Secure
  • Versions affectées : branches 22.8Rx avant 22.8R2.6 et 25.1.1.x avant 25.1.1.3
  • Action requise : mise à jour immédiate et audit de compromission — l'Integrity Checker Tool seul ne suffit pas

Les faits

Le 13 octobre 2026, la société Volexity a publié une analyse technique révélant qu'un acteur de menace non identifié, suivi sous le nom UTA0576, exploitait activement une chaîne de trois vulnérabilités zero-day dans Ivanti Connect Secure. L'exploitation avait débuté au moins le 3 octobre 2026, selon les données de télémétrie recueillies par Volexity sur ses honeypots et chez ses clients. Cette publication a déclenché une réaction immédiate : Ivanti a confirmé les faits le même jour et publié des correctifs d'urgence, tandis que la CISA (Cybersecurity and Infrastructure Security Agency) américaine ajoutait CVE-2026-104935 à son catalogue KEV (Known Exploited Vulnerabilities).

La première vulnérabilité de la chaîne, CVE-2026-104935, est un contournement d'authentification. Elle permet à un attaquant non authentifié d'accéder à des fonctionnalités normalement protégées de l'interface d'administration de Connect Secure. Cette faille touche les branches 22.8Rx antérieures à 22.8R2.5 et les versions 25.1.1.x antérieures à leurs versions correctives. La vulnérabilité est exploitable sans aucune authentification préalable, depuis Internet, ce qui la rend particulièrement dangereuse pour les appliances directement exposées. L'alerte opérationnelle CERTFR-2026-ALE-013 publiée par l'ANSSI souligne l'urgence d'action pour toutes les organisations concernées.

La deuxième vulnérabilité, CVE-2026-111357 (CVSS 8.8), est une faille d'absence d'authentification permettant une élévation de privilèges locale sur l'appliance. Une fois que l'attaquant a contourné l'authentification via CVE-2026-104935, il peut utiliser CVE-2026-111357 pour obtenir des privilèges élevés sur le système sous-jacent. La CISA a fixé une deadline au 2 novembre 2026 pour toutes les agences fédérales américaines concernant cette CVE. Toute organisation n'ayant pas encore appliqué le patch doit considérer son appliance comme potentiellement compromise, la fenêtre d'exploitation ayant été ouverte depuis début octobre.

La troisième vulnérabilité, CVE-2026-118527 (CVSS 4.3 en évaluation isolée), concerne la génération d'identifiants prévisibles qui permet à un attaquant disposant d'une authentification d'uploader des fichiers arbitraires sur l'appliance. Dans la chaîne documentée par Volexity, les deux premières vulnérabilités fournissent l'authentification nécessaire à l'exploitation de CVE-2026-118527. La CISA a fixé la deadline fédérale au 13 novembre 2026 pour cette CVE. Ensemble, les trois CVE forment une chaîne permettant l'exécution de code arbitraire avec des privilèges root sur une appliance Ivanti Connect Secure entièrement patchée avant la publication de ces correctifs d'urgence.

L'acteur UTA0576, tel que décrit par Volexity, présente toutes les caractéristiques d'un groupe étatique. Ses techniques opérationnelles incluent l'utilisation d'infrastructure de relais anonymisant pour masquer l'origine réelle des connexions, des outils de post-exploitation développés sur mesure pour les systèmes Ivanti, et une capacité à opérer intégralement en mémoire afin d'éviter les détections basées sur les artefacts disques. Volexity a observé des victimes dans des secteurs stratégiques : gouvernemental, défense et télécommunications, ce qui correspond au ciblage habituel des groupes APT mandatés pour l'espionnage de long terme.

Un point critique souligné par Volexity est la limitation sévère de l'Integrity Checker Tool (ICT) d'Ivanti. Cet outil, que les administrateurs utilisent pour vérifier l'intégrité de leur appliance, ne détecte pas l'activité de l'acteur UTA0576 car ce dernier exécute ses commandes entièrement en mémoire. Un résultat propre de l'ICT ne garantit donc pas l'absence de compromission. Cette limitation est d'autant plus préoccupante qu'Ivanti avait recommandé à plusieurs reprises l'utilisation de cet outil comme mécanisme de vérification lors des incidents précédents, notamment lors des exploitations des CVE-2024-21887 et CVE-2023-46805 qui avaient également touché Connect Secure et affecté des milliers d'organisations dans le monde.

Ce n'est pas la première fois qu'Ivanti Connect Secure concentre l'attention mondiale de la communauté cybersécurité. Depuis 2023, la solution a été affectée par de nombreuses vulnérabilités critiques exploitées en mode zero-day. La fréquence de ces incidents soulève des questions fondamentales sur la qualité du code d'Ivanti et sur ses pratiques de développement sécurisé. Des dizaines de milliers d'appliances Ivanti Connect Secure sont exposées directement sur Internet selon les données des moteurs de recherche spécialisés, ce qui fait de chaque instance non patchée une cible de valeur immédiate.

Les versions corrigées sont 22.8R2.6 (branche 22.8Rx) et 25.1.1.3 (branche 25.1.1.x). Ivanti indique dans son advisory que ces versions couvrent l'ensemble des vulnérabilités exploitées dans la chaîne documentée. Il est impératif de noter que l'application du patch seul peut ne pas suffire si l'appliance a déjà été compromise : dans ce cas, une réinitialisation complète à partir d'une image usine et une rotation immédiate de tous les secrets (certificats, credentials VPN, tokens de session) sont nécessaires pour garantir l'éradication complète d'un éventuel implant.

Impact et exposition

Toute organisation déployant Ivanti Connect Secure ou Policy Secure dans une version antérieure aux correctifs est exposée. La surface d'attaque est considérable : Ivanti Connect Secure est l'un des produits VPN d'entreprise les plus répandus au monde, déployé dans des milliers d'organisations incluant des administrations, des établissements de santé, des opérateurs d'importance vitale et des grandes entreprises. En France, l'ANSSI a publié l'alerte opérationnelle CERTFR-2026-ALE-013 recommandant l'isolation immédiate de tout équipement suspecté d'être compromis.

En cas d'exploitation réussie, l'attaquant dispose d'un accès root persistant lui permettant d'intercepter les sessions VPN en transit (y compris les credentials en clair des utilisateurs), de pivoter vers le réseau interne via les connexions établies, de maintenir une backdoor persistante difficile à éliminer sans réinitialisation complète, et d'exfiltrer la configuration complète de l'appliance incluant les certificats et les politiques de segmentation réseau.

Recommandations

  • Mettre à jour immédiatement vers Ivanti Connect Secure 22.8R2.6 ou 25.1.1.3 selon votre branche de déploiement
  • Ne pas considérer un résultat propre de l'Integrity Checker Tool comme preuve de non-compromission — analyser les logs réseau et chercher des IOCs comportementaux
  • Révoquer et renouveler tous les certificats, credentials VPN et clés d'authentification exposés à l'appliance
  • Isoler l'appliance du réseau si une compromission est suspectée, puis procéder à une réinitialisation complète depuis l'image usine officielle
  • Activer une journalisation centralisée des connexions et surveiller les accès anormaux depuis l'appliance vers le réseau interne

Alerte critique

Exploitation active confirmée depuis le 3 octobre 2026 par l'acteur étatique UTA0576. Les trois CVE figurent au catalogue KEV de la CISA. Les deadlines fédérales américaines sont déjà passées (2 novembre) ou imminentes (13 novembre). Toute organisation utilisant Ivanti Connect Secure doit traiter ce patch comme une priorité P0.

Mon Integrity Checker Tool renvoie un résultat propre. Mon appliance est-elle saine ?

Pas nécessairement. Volexity a documenté que l'acteur UTA0576 opère intégralement en mémoire, ce qui lui permet d'échapper aux vérifications de l'ICT basées sur les artefacts disques. Un résultat propre de l'ICT n'exclut pas une compromission active. Il faut compléter avec une analyse des logs réseau de l'appliance, une recherche d'IOCs comportementaux (connexions sortantes inhabituelles, processus anormaux lancés depuis des sockets réseau) et idéalement une analyse forensique mémoire si la fenêtre d'exposition remonte avant le 13 octobre 2026.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit