Ivanti Connect Secure : trois failles activement exploitées

Le CERT-FR a publié le 2 novembre l'avis CERTFR-2026-AVI-1442 sur trois vulnérabilités d'Ivanti Connect Secure (ICS) qu'Ivanti déclare activement exploitées. Chaînées, elles mènent à l'exécution de code à distance et à l'élévation de privilèges sur l'appliance. Si vous exposez un ICS sur Internet, c'est un correctif à poser aujourd'hui.

Produits et versions affectés

D'après l'avis, sont concernées :

• Connect Secure 22.8Rx antérieures à 22.8R2.6
• Connect Secure 25.1.1.x antérieures à 25.1.1.3
• Connect Secure 25.1.2.x antérieures à 25.1.3.1

Selon Ivanti, les versions 25.1.3.x ne sont pas affectées par CVE-2026-111357 et CVE-2026-118527. L'avis s'appuie sur le bulletin de sécurité Ivanti du 13 octobre 2026.

Les trois CVE

• CVE-2026-104935 — contournement d'authentification (CVSS 8.6). C'est le point d'entrée, corrigé le 13 octobre et exploité depuis.
• CVE-2026-111357 — authentification absente sur une fonction critique (CVSS 8.8) ; permet à un attaquant local authentifié d'élever ses privilèges.
• CVE-2026-118527 — identifiants prévisibles (CVSS 4.3) ; permet à un attaquant distant authentifié de déposer un fichier à un emplacement connu.

Isolément, aucune n'est triviale à exploiter. Enchaînées, elles ferment la boucle jusqu'au root non authentifié.

État de l'exploitation

Confirmée. L'avis CERT-FR reprend la mention d'Ivanti selon laquelle les trois CVE sont activement exploitées. En amont, Volexity a découvert et signalé la chaîne, attribuée à un acteur suivi sous le nom UTA0576 — attribution à conserver au conditionnel, faute d'inculpation ou de sanction publique. La CISA a ajouté CVE-2026-104935 à son catalogue KEV le 13 octobre, puis les deux CVE compagnon le 30 octobre. Volexity dit avoir observé l'exploitation sur un appareil pourtant à jour en 22.8R2.4 : un système « à jour » peut rester vulnérable.

Que faire

1. Mettez à jour vers 22.8R2.6, 25.1.1.3 ou 25.1.3.1 selon votre branche, en vous référant au bulletin Ivanti via l'avis CERT-FR plutôt qu'en supposant qu'un correctif précédent couvrait les trois failles.
2. Recherchez une compromission antérieure au correctif. L'exploitation remonte à début octobre ; patcher n'évince pas un attaquant déjà présent.
3. Faites tourner les secrets exposés par l'appliance : identifiants de service, sessions, et toute clé stockée côté passerelle.
4. Surveillez les journaux de l'ICS : dépôts de fichiers inattendus, création de comptes, reconnaissance interne et accès aux secrets de domaine.

Contexte

C'est un nouvel épisode dans une longue série de failles d'équipements de bordure Ivanti Connect Secure passées par le KEV, et le schéma se répète : un zero-day initial, puis des failles compagnon plus discrètes qui transforment un bug sérieux en chaîne root non authentifiée. Pour une passerelle qui termine du trafic non fiable, « à jour » est un instantané, pas une garantie — elle mérite une revue continue des journaux, pas un correctif posé puis oublié.