Vous aviez corrigé votre VPN Ivanti en octobre ? Il faut le mettre à jour une seconde fois

Le 3 octobre, selon la société de sécurité Volexity, un pirate jusque-là inconnu commence à s'introduire dans un boîtier VPN Ivanti Connect Secure, la passerelle qui permet aux salariés de se connecter au réseau de leur entreprise. Le boîtier qu'examine Volexity était pourtant à jour. Le 13 octobre, Ivanti publie un correctif pour une première faille. Il manquait deux pièces au puzzle.

Le 29 octobre, Ivanti a mis à jour son avis pour y ajouter deux autres failles déjà exploitées, CVE-2026-111357 et CVE-2026-118527. Le lendemain, l'agence américaine de cybersécurité CISA les a inscrites à son catalogue des failles activement exploitées (KEV). Conséquence directe : les entreprises qui avaient installé les versions 25.1.1.2 ou 22.8R2.5 en octobre restent exposées et doivent refaire la mise à jour.

Trois failles pour devenir maître du boîtier

Nous avions raconté le 13 octobre l'exploitation de la première faille, CVE-2026-104935, alors que le correctif d'une autre faille de la chaîne se faisait attendre. La CVE-2026-104935 permet de contourner l'authentification. Selon Volexity, l'attaquant l'a enchaînée à deux autres failles inconnues jusque-là (des « zero-day ») pour exécuter des commandes avec les droits les plus élevés (root), sans même avoir de compte.

Les deux nouvelles pièces, telles que les décrit SecurityWeek :

• CVE-2026-111357 (note de gravité de 8,8 sur 10 selon Ivanti) : une fonction critique sans contrôle d'authentification, qui permet à un attaquant authentifié disposant d'un accès local d'élever ses privilèges. Aucun correctif n'existait quand les attaques ont été rendues publiques, le 13 octobre ;
• CVE-2026-118527 (4,3 sur 10) : des identifiants prévisibles, qui permettent à un attaquant authentifié de déposer à distance les fichiers de son choix à un emplacement connu du disque.

Prises seules, ces deux failles supposent que l'attaquant soit déjà authentifié. Mises bout à bout avec la première faille, elles donnent le contrôle total du boîtier.

Qui est derrière ?

Volexity suit l'attaquant sous le nom d'UTA0576. Elle estime, avec un faible degré de confiance, que ses motivations seraient plutôt criminelles que liées à l'espionnage. Sur le boîtier compromis, l'attaquant a volé des identifiants, exfiltré des données, scanné le réseau et modifié les journaux d'activité. Ivanti dit qu'un nombre limité de clients a été touché. De son côté, la société de renseignement Defused rapporte que des attaques visant selon elle la première faille ont frappé ses leurres dès le 1er octobre, avant toute publication.

Que faire ?

La seule parade évoquée est la mise à jour.

• Versions vulnérables : 25.1.1.2 et antérieures, 22.8R2.5 et antérieures.
• Versions corrigées : 25.1.1.3 et 22.8R2.6. Elles corrigent les deux nouvelles failles : il faut les installer même si le correctif d'octobre a été appliqué.
• Le boîtier a été exposé pendant octobre ? Partez du principe que des identifiants ont pu fuiter. L'attaquant modifie les journaux : leur absence d'alerte ne prouve rien. Faites renouveler les comptes et les secrets qui ont transité par la passerelle.

Les administrations fédérales américaines ont jusqu'à aujourd'hui, 2 novembre, pour corriger CVE-2026-111357, et ont jusqu'au 13 novembre pour CVE-2026-118527. Une entreprise européenne n'a aucune raison de se donner plus de temps.

Une question reste ouverte : combien d'organisations ont été touchées entre le 3 octobre et ce second correctif ?