blacksloth.fr

Ivanti Connect Secure : trois failles en chaîne, un correctif d’octobre incomplet

Le 2 novembre 2026, le CERT-FR a mis à jour son alerte CERTFR-2026-ALE-013 sur Ivanti Connect Secure (ICS). Elle couvre désormais trois vulnérabilités, CVE-2026-104935, CVE-2026-111357 et CVE-2026-118527, dont Ivanti dit qu’elles sont activement exploitées. Le correctif publié le 13 octobre ne couvrait pas toute la chaîne : Ivanti a ajouté deux failles à son avis le 29 octobre, et le CERT-FR les a reprises le 2 novembre.

Une chaîne en trois temps

Volexity, qui a découvert l’attaque, décrit trois étapes : un contournement d’authentification qui laisse des requêtes non authentifiées atteindre des fonctions protégées, une exécution de code à distance, puis une élévation de privilèges qui donne un accès root. Volexity suit l’acteur sous le nom UTA0576 et date ses premières exploitations du 3 octobre 2026.

Le CERT-FR précise que les deux CVE ajoutés par Ivanti permettent à un attaquant authentifié d’élever ses privilèges et de déposer un fichier arbitraire à un emplacement connu du disque, sans détailler ce qui revient à chaque CVE. Help Net Security fait la correspondance : CVE-2026-104935 est un contournement d’authentification avec exécution de code à distance, CVE-2026-111357 une élévation de privilèges, CVE-2026-118527 un dépôt de fichier à distance par un utilisateur authentifié. BleepingComputer décrit de même les deux derniers. Selon la page de Volexity, la mise à jour du 29 octobre corrige l’élévation de privilèges, c’est-à-dire CVE-2026-111357.

Un détail rend ces attaques difficiles à repérer. Selon Volexity, l’acteur n’a déployé ni logiciel malveillant de première étape ni web shell : il a fait passer ses commandes et leurs résultats dans les requêtes mêmes de la chaîne d’exploitation. Volexity ajoute que l’acteur a pris des mesures pour échapper à l’outil de vérification d’intégrité d’Ivanti (Integrity Checker Tool, ICT), si bien qu’un résultat propre n’écarte pas une compromission, selon Help Net Security.

Pourquoi le correctif d’octobre était partiel

The Register, le 14 octobre 2026, rapportait que les mises à jour d’Ivanti couvraient le contournement d’authentification et l’exécution de code, tandis que la faille d’élévation de privilèges était distincte, avec un correctif promis « dans les prochaines semaines » (traduit par nos soins). Ivanti disait aussi avoir corrigé « une partie » du problème dès juillet, dans la version 25.1.3.0, et être en train de la reporter sur d’autres branches quand l’exploitation a commencé.

Dans la mise à jour de son avis, citée par BleepingComputer, l’éditeur écrit avoir décidé de ne pas retarder un correctif qui résolvait le chemin d’exploitation principal (traduit par nos soins). Volexity, de son côté, affirme avoir observé la chaîne sur des appliances entièrement à jour au moment de l’attaque, selon BleepingComputer ; sa page précise qu’un appareil tournait en 22.8R2.4 lors de l’attaque. On peut y voir un correctif livré en deux temps pendant que l’attaque était déjà en cours. Les sources lues ne permettent pas d’en dire plus sur la décision d’Ivanti.

Versions concernées selon le CERT-FR

Nous ne reprenons que les versions du CERT-FR. Sont affectées les branches 22.8Rx antérieures à 22.8R2.6, 25.1.1.x antérieures à 25.1.1.3 et 25.1.2.x antérieures à 25.1.3.1. Le CERT-FR indique qu’Ivanti a fourni des correctifs pour les branches 22.8Rx et 25.1.1.x, et que les versions 25.1.3.x ne sont pas touchées par CVE-2026-111357 et CVE-2026-118527. L’alerte ne nomme pas explicitement une version corrigée pour la branche 25.1.2.x. D’autres médias avancent des numéros légèrement différents ; en cas de doute, mieux vaut s’en remettre à l’avis d’Ivanti, que nous n’avons pas pu lire : sa page ne s’est pas chargée lors de notre consultation.

Exploitation : deux dates de début, un même constat

Le début des attaques n’est pas daté de la même façon partout. Volexity parle du 3 octobre 2026. BleepingComputer rapporte que la société Defused a vu les premiers signes d’exploitation de CVE-2026-104935 dès le 1er octobre, et son chapô parle d’attaques « depuis au moins » cette date (traduction de « since at least »). Les sources lues n’expliquent pas cet écart. Dans les deux cas, l’exploitation précède le correctif du 13 octobre.

Côté américain, le catalogue KEV de la CISA liste CVE-2026-111357 et CVE-2026-118527, ajoutés le 30 octobre 2026, avec des échéances au 2 et au 13 novembre. Nous n’avons pas retrouvé d’entrée propre à CVE-2026-104935 sur la page lue ; BleepingComputer écrit pourtant que la CISA l’a aussi ajoutée. Les sources divergent sur ce point.

Volexity estime « avec un haut niveau de confiance » (traduit par nos soins) que les actions de l’acteur annonçaient une préparation à du mouvement latéral, mais l’opération a été détectée et interrompue : ses objectifs finaux n’ont pas pu être déterminés. Rapid7, cité par Help Net Security, signale des vols d’identifiants et des requêtes sur l’annuaire Active Directory visant des mots de passe Windows LAPS et des clés de récupération BitLocker. The Register rapporte que Volexity soupçonne un mobile criminel plutôt que d’espionnage, ce que l’article présente comme un soupçon ; selon Volexity, la confiance dans ce point est faible.

Des scores de gravité difficiles à comparer

The Register cite un score CVSS de 8,6 pour CVE-2026-104935. Ni BleepingComputer ni Help Net Security ne donnent de score pour les trois failles, et nous n’avons pu lire ni l’avis d’Ivanti ni la page de la NVD. Nous ne pouvons donc pas confirmer les écarts de notation évoqués ailleurs, et nous ne publions pas de comparaison de scores.

Que faire concrètement

Le CERT-FR recommande, dans l’ordre : isoler l’appliance d’Internet et du réseau interne, réaliser des instantanés du système de fichiers et de la mémoire si elle est virtuelle, éviter de l’éteindre pour préserver les preuves, mettre les journaux en lieu sûr, analyser avec les indicateurs publiés par Volexity, puis lancer l’ICT. Le CERT-FR note que l’ICT exige un accès physique et peut interrompre le service. Vu l’évasion décrite par Volexity, son résultat ne suffit pas à conclure.

  • Si la compromission est confirmée : la signaler au CERT-FR, réinitialiser l’appliance (le CERT-FR avertit que certaines menaces peuvent survivre), mettre à jour, et traiter comme compromis tous les secrets qui y transitent : comptes LDAP/Active Directory, certificats, mots de passe d’administration, clés d’API, tickets Kerberos.
  • Si rien n’est trouvé : mettre à jour si un correctif existe ; sinon contacter Ivanti et, si possible, déconnecter l’appliance d’Internet. Surveiller en particulier le compte de service LDAP ou Active Directory.

Ce qu’on ne sait pas encore

Reste ouvert : le nombre d’appliances réellement compromises. BleepingComputer cite plus de 5 000 instances Connect Secure exposées sur Internet d’après Shadowserver, sans dire combien sont à jour.

Sources

In

, , , , ,
Enable Notifications OK No thanks