Encore une fois, ce sont les passerelles VPN qui sont visées. Ivanti a corrigé le 13 octobre 2026 une faille de son produit Connect Secure (ICS), et l’agence américaine de cybersécurité CISA demande de l’installer immédiatement : la vulnérabilité est exploitée depuis au moins le 1er octobre.
La faille : CVE-2026-104935
- Produit : Ivanti Connect Secure, la solution d’accès VPN d’Ivanti.
- Nature : un contournement d’authentification. Un attaquant à distance, sans compte et sans action de l’utilisateur, peut exécuter des commandes sur l’équipement.
- Gravité : élevée, avec une exploitation de faible complexité.
Selon la société Volexity, un groupe qu’elle suit sous le nom UTA0576 enchaîne cette faille avec deux autres depuis au moins le 3 octobre. La chaîne complète lui permet d’exécuter du code avec les droits root, sans authentification, sur des équipements pourtant entièrement à jour au moment des attaques. La société Defused confirme avoir vu les premières traces d’exploitation dès le 1er octobre.
Ce que cherchent les attaquants
Une fois sur la passerelle, les attaquants visent le cœur du réseau de l’entreprise :
- les identifiants et secrets Active Directory ;
- les mots de passe LAPS (les mots de passe d’administrateur local gérés automatiquement) ;
- les clés de récupération BitLocker.
La CISA met en garde contre le vol d’identifiants et l’exfiltration de données. Un VPN compromis, c’est potentiellement tout le domaine Windows qui suit.
Les versions corrigées
La faille est corrigée dans les versions 22.8R2.5, 25.1.3.0, 25.1.3.1 et 25.1.1.2 d’Ivanti Connect Secure. Ivanti demande à ses clients d’« agir immédiatement ».
La CISA a ajouté la faille à son catalogue des vulnérabilités exploitées et a imposé aux administrations fédérales américaines de corriger avant le 16 octobre. Cette échéance ne s’impose pas aux entreprises privées, mais la recommandation vaut pour tout le monde.
L’enjeu est réel : la fondation Shadowserver recense plus de 5 600 équipements Ivanti Connect Secure exposés sur Internet. Depuis novembre 2021, la CISA a ajouté 36 failles Ivanti à son catalogue, dont 12 ont servi dans des attaques par rançongiciel.
Si vous avez un Ivanti Connect Secure
- Mettez à jour vers une version corrigée, sans attendre une fenêtre de maintenance.
- Cherchez des traces de compromission. Attention : selon BleepingComputer, l’outil de contrôle d’intégrité d’Ivanti peut ne pas détecter cette attaque, car les commandes des attaquants s’exécutent en mémoire. Il faut une analyse réseau et mémoire.
- Si l’équipement a été compromis :
- sauvegardez sa configuration ;
- faites une réinitialisation d’usine et passez à la dernière version (pour une machine virtuelle ou cloud, reconstruisez l’instance) ;
- restaurez la configuration ;
- changez tous les mots de passe du domaine, des administrateurs et des comptes locaux ;
- révoquez et réémettez les certificats stockés, et renouvelez les clés d’API et les identifiants du serveur de licences.
La leçon pour les PME
Les équipements exposés sur Internet (VPN, pare-feux, accès à distance) sont devenus la porte d’entrée préférée des attaquants. Trois réflexes simples réduisent nettement le risque :
- tenir un inventaire de tout ce qui est exposé sur Internet, avec sa version ;
- s’abonner aux avis de sécurité de chaque éditeur, et à ceux du CERT-FR ;
- séparer les comptes d’administration du VPN des comptes du quotidien, et protéger les comptes à privilèges par une double authentification.
Pour vérifier en quelques secondes ce que votre site web laisse voir de l’extérieur (certificat, redirections, en-têtes de sécurité), notre outil open source frontdoor fait l’audit et propose la configuration qui corrige.
Sources
- BleepingComputer, « CISA warns admins to immediately fix Ivanti flaw exploited as zero-day », 14 octobre 2026 : https://bleepingcomputer.com/news/security/cisa-warns-admins-to-immediately-fix-ivanti-flaw-exploited-as-zero-day
