Ivanti Connect Secure : deux nouvelles failles exploitées, le VPN redevient la porte d’entrée

Le 13 octobre, Ivanti corrigeait dans l’urgence une faille de contournement d’authentification de son VPN Connect Secure, déjà exploitée. On pouvait espérer que l’histoire s’arrête là. Raté : le 30 octobre, la CISA américaine a ajouté deux nouvelles failles du même produit à son catalogue des vulnérabilités activement exploitées. Mises bout à bout, elles donnent à un attaquant un accès root au boîtier, sans le moindre identifiant.

Les faits

• CVE-2026-104935 (CVSS 8,6) : le contournement d’authentification révélé le 13 octobre. Selon Volexity, il permet aussi l’exécution de code à distance sans authentification.
• CVE-2026-111357 (CVSS 8,8) : un contrôle d’authentification manquant sur une fonction critique, qui permet à un attaquant déjà présent d’élever ses privilèges.
• CVE-2026-118527 (CVSS 4,3) : des identifiants prévisibles qui permettent de déposer un fichier malveillant à un emplacement connu du disque.
• Versions à installer : 25.1.1.3 (depuis la branche 25.1.1.2 et antérieures) ou 22.8R2.6 (depuis 22.8R2.5 et antérieures). Le Centre canadien pour la cybersécurité cite aussi la 25.1.3.1.

Volexity attribue l’activité à un groupe qu’il suit sous le nom UTA0576. Une fois dans le VPN, les attaquants sont allés chercher les identifiants Active Directory, les mots de passe LAPS et les clés de récupération BitLocker. Autrement dit, le VPN n’était qu’un marchepied vers tout le reste.

Pourquoi ça me fait tiquer

Le scénario est désormais classique : une première faille est publiée parce que son correctif est prêt, puis les élévations de privilèges suivent quelques semaines plus tard. Ceux qui ont mis à jour le 14 octobre en pensant être tranquilles doivent donc remettre le couvert. Et un boîtier compromis avant la mise à jour le reste après : le correctif ferme la porte, il ne fait pas sortir celui qui est déjà entré.

Côté sûreté et bâtiment, on aurait tort de se croire hors sujet. Dans beaucoup d’entreprises, c’est ce même VPN qui sert aux mainteneurs pour rejoindre la supervision GTB, le serveur de contrôle d’accès ou le logiciel de gestion vidéo. Si l’attaquant est root sur la passerelle, il voit passer tout ce trafic, et il peut réutiliser les comptes des prestataires. La segmentation entre le réseau bureautique et les réseaux techniques prend ici tout son sens.

Ce que je vérifierais dès lundi

1. La version réellement installée sur chaque boîtier, y compris le boîtier de secours ou de recette qu’on oublie toujours.
2. La mise à jour vers 25.1.1.3 ou 22.8R2.6, hors cycle normal.
3. L’outil de contrôle d’intégrité d’Ivanti (Integrity Checker Tool), à passer après la mise à jour et régulièrement ensuite.
4. Les mouvements latéraux partant de l’adresse du VPN dans les journaux : c’est le signe de compromission que met en avant Volexity. En cas de doute, investigation par un prestataire spécialisé, et renouvellement des comptes et secrets qui ont transité par le boîtier.
5. Les accès des prestataires : comptes nominatifs, double authentification, droits limités aux seules machines nécessaires (supervision, serveur vidéo…) plutôt qu’un accès à tout le réseau.

Dernier point, à mettre dans le planning : les branches 22.7 et 22.8 intermédiaires arrivent en fin de support le 31 janvier 2027, selon la presse spécialisée. La migration vers la branche 25.1 est à préparer dès maintenant.

Mon avis

Je ne jetterai pas la pierre au seul Ivanti : Citrix, Palo Alto ou Fortinet ont connu des automnes comparables, et nous en parlions encore ici la semaine dernière. Mais le constat reste le même : l’équipement de périmètre est devenu la cible préférée, parce qu’il est exposé sur Internet par nature et qu’il détient les clés du réseau. Un VPN se traite donc comme un équipement critique, avec un responsable, une veille des avis et une procédure de mise à jour rapide. Et si vos mainteneurs s’en servent pour atteindre vos équipements de sûreté, demandez-vous s’ils ont vraiment besoin de voir tout le réseau. La réponse est rarement oui 🙂

Sources

• Security Affairs – U.S. CISA adds Ivanti Connect Secure flaws to its Known Exploited Vulnerabilities catalog (31/10/2026)
• Centre canadien pour la cybersécurité – Bulletin de sécurité Ivanti AV26-1035 (mis à jour le 30/10/2026)
• Rapid7 – Ivanti Connect Secure zero-day exploited in the wild (13/10/2026)
• ITdaily – Ivanti patches flaw in Connect Secure that attackers are already exploiting (14/10/2026)