Ivanti Connect Secure : la CVE-2026-104935 activement exploitée

Le CERT-FR a publié le 14 octobre 2026 l'avis CERTFR-2026-AVI-1311, qui couvre sept vulnérabilités dans les produits Ivanti. L'avis indique qu'Ivanti considère la CVE-2026-104935 comme activement exploitée. Si vous opérez une passerelle Ivanti Connect Secure (ICS) exposée, c'est la correction à passer aujourd'hui.

Produits et versions affectés

D'après l'avis CERT-FR et les bulletins éditeur du 13 octobre :

• Connect Secure 22.8Rx antérieures à 22.8R2.5
• Connect Secure 25.1.1.x antérieures à 25.1.1.2
• Connect Secure 25.1.3.x antérieures à 25.1.3.1
• Neurons for UEM — mise à jour automatique effectuée le 16 septembre 2026
• Xtraction antérieures à 2026.4

Les CVE listées : CVE-2026-104935, CVE-2026-106034, CVE-2026-106035, CVE-2026-106042, CVE-2026-106043, CVE-2026-106047 et CVE-2026-109412. L'avis mentionne globalement des risques d'exécution de code arbitraire à distance, d'élévation de privilèges, d'atteinte à la confidentialité et à l'intégrité des données, et de contournement de la politique de sécurité.

État de l'exploitation

La CVE-2026-104935 (CVSS 8.6) est un contournement d'authentification qui permet l'exécution de commandes non authentifiée sur ICS. Elle a été ajoutée au catalogue KEV de la CISA le 13 octobre, avec une échéance de correction au 16 octobre 2026 pour les agences fédérales américaines — un calendrier court qui dit tout de l'urgence.

Côté observation : Volexity attribue l'activité à un acteur jusqu'ici non documenté, UTA0576, qu'il évalue comme à motivation criminelle, avec une première exploitation vue le 3 octobre. Selon ce même suivi, l'acteur chaîne le contournement d'authentification avec une faille d'élévation de privilèges pour obtenir une exécution de code root non authentifiée, puis extrait des identifiants et effectue de la reconnaissance Active Directory. Cette attribution reste une évaluation d'éditeur, pas une imputation officielle — à prendre comme telle.

Que faire

1. Appliquer les correctifs ICS immédiatement : passer 22.8Rx en 22.8R2.5, 25.1.1.x en 25.1.1.2, 25.1.3.x en 25.1.3.1. Ne pas attendre une fenêtre de maintenance pour une CVE au KEV.
2. Mettre à jour Xtraction en 2026.4 ou ultérieure, et vérifier l'état de Neurons for UEM (la mise à jour automatique est annoncée au 16 septembre).
3. Rechercher des traces de compromission sur toute passerelle exposée avant le correctif : extraction d'identifiants, reconnaissance AD, comptes ou sessions anormaux. Une passerelle accessible depuis Internet avant le patch doit être traitée comme potentiellement compromise.
4. Faire tourner les secrets (identifiants d'administration, comptes de service, certificats) joignables depuis une appliance suspecte, le vol d'identifiants faisant partie du comportement observé.
5. Suivre l'avis CERT-FR pour les mises à jour et consulter les bulletins Ivanti pour la matrice de correctifs complète.

Mise en perspective

La CVE-2026-104935 rejoint les quatorze autres vulnérabilités Ivanti Connect Secure / Pulse Connect Secure déjà présentes au KEV — une passerelle VPN reste une cible de choix parce qu'elle est exposée par définition et qu'un contournement d'authentification y ouvre directement le réseau interne. Notre desk EN a documenté le chaînage des zero-days ICS menant à root sur un VPN pourtant à jour ; l'avis CERT-FR du jour et l'échéance CISA du 16 octobre confirment que la fenêtre de correction se referme vite. Le patch n'est que la moitié du travail : présumer la compromission et chasser ce que le correctif n'efface pas reste l'autre moitié.