Ivanti Connect Secure : zéro-day CVE-2026-104935 exploité

Zéro-day enchaîné : comment UTA0576 a compromis des VPN professionnels

Le 13 octobre 2026, Ivanti a publié un advisory de sécurité pour CVE-2026-104935, une vulnérabilité de type « improper authentication » affectant Ivanti Connect Secure (ICS), sa solution de VPN SSL déployée dans des dizaines de milliers d'organisations dans le monde. La faille porte un score CVSSv3 de 8.6 et permet à un attaquant distant, sans aucune authentification préalable, d'exécuter des commandes arbitraires sur l'appliance ciblée.

L'élément le plus préoccupant de cet advisory n'est pas la vulnérabilité elle-même, mais le fait qu'elle était activement exploitée dans la nature depuis au moins douze jours avant sa divulgation publique. Selon les analyses de Rapid7, de BleepingComputer et de The Hacker News, un acteur de menace identifié sous le nom UTA0576 a commencé à exploiter cette faille à partir du 1er octobre 2026, soit pendant toute la durée du processus de qualification et de développement du patch chez Ivanti.

Ce qui distingue cette campagne de la majorité des exploitations de CVE classiques, c'est la sophistication de la chaîne d'attaque mise en œuvre. UTA0576 n'a pas exploité CVE-2026-104935 isolément : le groupe a enchaîné cette faille avec deux autres vulnérabilités zéro-day dans ICS pour obtenir, au bout du tunnel, une exécution de code au niveau root sur des appliances entièrement mises à jour. L'un de ces trois zéro-days n'était toujours pas patché au moment de la publication de cet advisory, Ivanti indiquant qu'un correctif pour la faille d'escalade de privilèges résiduelles sera publié ultérieurement.

La chaîne d'exploitation documentée par les chercheurs fonctionne ainsi : CVE-2026-104935 sert de point d'entrée en contournant le mécanisme d'authentification de l'interface web d'administration. Une fois cet accès initial obtenu, l'attaquant exploite une seconde faille pour pivoter vers un contexte d'exécution plus privilégié, puis s'appuie sur la troisième vulnérabilité — non encore patchée — pour élever ses droits jusqu'au niveau root. Le résultat est une compromission totale de l'appliance VPN, permettant l'interception du trafic, l'injection de backdoors et le mouvement latéral vers le réseau interne de l'organisation.

Les versions affectées couvrent un large périmètre de déploiements : ICS 22.8R2.4 et antérieures, 25.1.2.2 et antérieures, ainsi que 25.1.1.1 et antérieures. Les organisations utilisant des versions plus récentes ou ayant appliqué les mises à jour de maintenance récentes pourraient bénéficier de protections partielles, mais Ivanti recommande sans équivoque l'application immédiate du correctif publié le 13 octobre.

La réponse institutionnelle a été rapide. La CISA (Cybersecurity and Infrastructure Security Agency) américaine a ajouté CVE-2026-104935 à son catalogue KEV (Known Exploited Vulnerabilities) le même jour que la divulgation publique, ce qui impose aux agences fédérales américaines un délai maximal de trois semaines pour appliquer le patch. Cette synchronisation entre la publication vendor et l'entrée KEV est un signal fort indiquant que les agences gouvernementales avaient connaissance de la compromission en cours avant la divulgation.

Ivanti a également publié des indicateurs de compromission (IOC) et des conseils de chasse aux menaces (threat hunting guidance) pour aider les organisations à détecter si elles ont pu être compromises avant l'application du correctif. Les équipes de sécurité sont invitées à inspecter les journaux d'authentification pour détecter des tentatives d'accès sans credentials valides, à rechercher des processus inhabituels s'exécutant avec des droits élevés sur les appliances ICS, et à vérifier l'intégrité des configurations et des certificats d'authentification.

L'identité exacte d'UTA0576 n'a pas été attribuée publiquement à un État-nation spécifique dans les rapports disponibles au moment de la rédaction, mais la sophistication de la chaîne d'attaque et la capacité à développer trois zéro-days simultanés suggèrent des ressources importantes, caractéristiques d'acteurs étatiques ou para-étatiques. Ivanti Connect Secure est particulièrement prisé comme vecteur d'attaque initial par les groupes APT : en 2024 et 2025 déjà, plusieurs campagnes attribuées à des groupes chinois et iraniens avaient ciblé les versions précédentes de la solution.

Un éditeur sous pression permanente : l'héritage des failles Ivanti

CVE-2026-104935 s'inscrit dans une série préoccupante de vulnérabilités critiques affectant les produits Ivanti depuis 2024. Connect Secure a été touché par au moins cinq vagues d'exploitations majeures en moins de trois ans, incluant des zéro-days dans la gateway SSL, dans le module SAML et dans les APIs de gestion à distance. Chaque incident a conduit à des compromissions de réseaux d'entreprise et gouvernementaux à grande échelle, et a mis en lumière les défis structurels de sécurisation d'une appliance réseau distribuée à grande échelle.

Pour les équipes de sécurité, la récurrence de ces incidents pose une question stratégique : au-delà du patch management réactif, faut-il envisager une réévaluation architecturale de la dépendance aux VPN SSL traditionnels au profit de solutions Zero Trust Network Access (ZTNA) plus modernes, où la surface d'attaque exposée est structurellement réduite ? Plusieurs analystes et cabinets de conseil en cybersécurité recommandent désormais d'utiliser des incidents comme CVE-2026-104935 comme catalyseur pour accélérer les migrations vers des architectures zero-trust, en particulier pour les accès distants des administrateurs système et des sous-traitants.

Du côté des indicateurs d'impact, le nombre exact d'organisations compromises avant la publication du patch n'a pas été divulgué, Ivanti se limitant à mentionner « un nombre limité de clients ». Les analyses de Rapid7 et des chercheurs de SecurityOnline suggèrent que des honeypots spécialisés ont détecté des tentatives d'exploitation actives dès les premières heures suivant la divulgation, ce qui indique une diffusion rapide des techniques d'exploitation dans l'écosystème des attaquants.

La priorité immédiate pour toute organisation utilisant Ivanti Connect Secure est claire : appliquer le patch 2026-10-13 disponible sur le portail Ivanti dans les plus brefs délais, effectuer une chasse aux menaces sur les périodes antérieures au patch, et vérifier l'intégrité des identités et des sessions actives sur le VPN. En l'absence de patch pour la troisième faille de la chaîne, des mesures de mitigation supplémentaires — comme la restriction des accès à l'interface d'administration et l'activation de la journalisation étendue — sont recommandées en attendant le correctif complet.

Ce qu'il faut retenir

• CVE-2026-104935 dans Ivanti Connect Secure permet l'exécution de commandes sans authentification (CVSS 8.6) et est exploitée activement par UTA0576 depuis le 1er octobre 2026.
• L'attaque s'appuie sur une chaîne de trois zéro-days pour atteindre l'accès root ; une des trois failles reste non patchée à ce jour.
• Appliquer immédiatement le patch Ivanti du 13 octobre 2026 et effectuer une chasse aux menaces sur la période du 1er au 13 octobre pour détecter d'éventuelles compromissions antérieures.