Ivanti Connect Secure : une chaîne de failles zero-day exploitée pour prendre la main en root, une des trois toujours sans correctif

Des attaquants ont enchaîné trois failles inconnues des passerelles VPN Ivanti Connect Secure pour exécuter des commandes en root sans s’authentifier, puis aspirer des identifiants Active Directory. Ivanti a corrigé deux failles le 13 octobre (CVE-2026-104935) ; l’élévation de privilèges reste ouverte.

Ce qui s’est passé

Le 13 octobre 2026, Ivanti a publié la vulnérabilité CVE-2026-104935 touchant sa passerelle VPN Connect Secure, en précisant avoir connaissance d’une exploitation limitée. Le même jour, la CISA l’a ajoutée à son catalogue des failles exploitées et a donné aux agences fédérales américaines jusqu’au 16 octobre pour agir. La faille a été signalée par Volexity, qui l’a découverte en enquêtant sur l’intrusion chez l’un de ses clients, commencée le 3 octobre.

Selon Volexity, l’attaque repose sur trois faiblesses : un contournement d’authentification dans welcome.cgi, une écriture de fichier menant à l’exécution de code à distance, et une élévation de privilèges jusqu’à root. Les deux premières, regroupées sous CVE-2026-104935 (CVSS 8,6), sont corrigées. L’élévation de privilèges n’a pas encore de correctif : Volexity l’attend dans une version prévue d’ici quelques semaines.

Ce qu’ont fait les attaquants

Volexity suit cet acteur sous le nom UTA0576. Pas de webshell ni de porte dérobée : la passerelle a servi à récolter des identifiants. Ses outils interrogeaient l’Active Directory en LDAP, pratiquaient le Kerberoasting et la pulvérisation de mots de passe, et capturaient le trafic pour en extraire les identifiants LDAP, HTTP Basic et NTLM transmis en clair. Ils visaient aussi les mots de passe LAPS, les clés de récupération BitLocker et la configuration du VPN. Les modifications résidant en mémoire, l’outil de contrôle d’intégrité d’Ivanti (Integrity Checker Tool) risque de ne rien voir, prévient Volexity.

Que faire maintenant

1. Vérifiez votre version. D’après la base NVD, les branches 22.8R2 à 22.8R2.4 et 25.1 antérieures à 25.1.3.0 sont vulnérables ; la 22.7R2.14 et les précédentes ne le sont pas.
2. Mettez à jour sans attendre vers 22.8R2.5 ou 25.1.3.0 / 25.1.3.1, selon le bulletin d’Ivanti.
3. Fouillez vos journaux : rafales de requêtes vers /dana-na/auth/url_default/welcome.cgi avec un en-tête X-DSCGI-PATH, fichiers inattendus dans /tmp/. Ne vous fiez pas au seul Integrity Checker.
4. Si la passerelle était exposée depuis début octobre, partez du principe qu’elle a pu être compromise : changez les mots de passe des comptes de service AD utilisés par le VPN et des comptes dotés d’un SPN, renouvelez les mots de passe LAPS et les clés BitLocker, et surveillez les tentatives de pulvérisation.
5. Installez le troisième correctif dès sa sortie.

Notre avis

Une passerelle VPN voit passer tous les mots de passe de l’entreprise : c’est l’endroit idéal pour vider un annuaire sans toucher un seul poste. Le correctif ferme la porte, mais les identifiants volés avant restent valables tant qu’on ne les change pas. Leur renouvellement fait partie de la réponse, ce n’est pas une option.

Sources

• Ivanti — October 2026 Security Update
• Volexity — A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-104935
• NIST NVD — CVE-2026-104935

Comment nous choisissons, vérifions et rédigeons nos analyses →