Ivanti Connect Secure : une faille zero-day exploitée, un des correctifs se fait attendre

Ivanti a publié le 13 octobre 2026 un correctif pour CVE-2026-104935, une faille de sa passerelle VPN Connect Secure (ICS) déjà exploitée. Selon l'éditeur, l'exploitation reste « limitée ». Le jour même, l'agence américaine de cybersécurité (CISA) a ajouté la faille à son catalogue des vulnérabilités exploitées (KEV). Elle laisse aux administrations fédérales jusqu'au 16 octobre pour corriger.

Une chaîne de trois failles

La société Volexity a découvert l'attaque et l'a signalée à Ivanti. Elle observe depuis au moins le 3 octobre un acteur qu'elle appelle UTA0576. Selon BleepingComputer, la société Defused a vu les premières tentatives dès le 1er octobre. L'attaquant combine trois failles pour exécuter des commandes avec les droits root, sans s'authentifier, sur des appareils pourtant à jour :

• un contournement d'authentification via l'en-tête X-DSCGI-PATH de la page welcome.cgi ;
• une exécution de code liée à un fichier déposé avant d'être vérifié ;
• une élévation de privilèges vers root.

CVE-2026-104935 couvre les deux premières failles. La troisième n'est pas encore corrigée : selon Volexity, le correctif viendra dans une version ultérieure.

Une attaque discrète, centrée sur l'Active Directory

Selon Volexity, l'attaquant n'a installé ni logiciel malveillant ni porte dérobée. Il relance l'exploitation pour chaque commande, retouche les journaux et supprime ses fichiers. L'outil de contrôle d'intégrité d'Ivanti (Integrity Checker Tool) n'a pas repéré ces modifications. Une fois sur la passerelle, il a extrait des identifiants de domaine utilisés pour LDAP, a ciblé des mots de passe LAPS et des clés de récupération BitLocker (Volexity ne sait pas si chaque opération a abouti), et a tenté d'obtenir d'autres mots de passe (« kerberoasting », pulvérisation de mots de passe). Volexity estime, avec une confiance moyenne, que l'attaquant s'aide de modèles de langage. Elle estime, avec une faible confiance, que ses motivations sont criminelles plutôt que liées à l'espionnage. Shadowserver recense plus de 5 500 instances ICS exposées sur Internet, sans qu'on sache combien sont vulnérables.

Que faire ?

• Identifier les versions concernées : 22.8R2.4 et antérieures, 25.1.1.1 et antérieures, 25.1.2.2 et antérieures.
• Mettre à jour sans attendre. Selon les informations relayées à partir de l'avis d'Ivanti, les versions corrigées sont 22.8R2.5, 25.1.1.2, 25.1.3.0 et 25.1.3.1.
• Ne pas se fier au seul Integrity Checker : chercher dans /tmp/ des scripts Python inconnus, un répertoire caché /data/.icscap ou un processus dsstatmond.
• Surveiller les requêtes vers welcome.cgi dont l'en-tête X-DSCGI-PATH ne correspond pas au chemin demandé. Volexity publie ses indicateurs sur GitHub.
• En cas de doute, considérer l'annuaire comme exposé : changer les mots de passe des comptes de service AD et les mots de passe LAPS, renouveler les clés BitLocker, et rechercher des connexions de la passerelle vers le réseau interne.