Ivanti Connect Secure : des failles zero-day enchaînées pour obtenir les droits root

Des attaquants ont enchaîné trois failles zero-day dans Ivanti Connect Secure pour exécuter des commandes en tant que root sans se connecter, ont révélé Ivanti et l'entreprise de sécurité Volexity le 13 octobre 2026. Connect Secure est une appliance VPN que les entreprises placent en bordure de leur réseau pour que leurs employés puissent se connecter à distance. Ivanti a corrigé deux des failles, suivies ensemble sous la référence CVE-2026-104935. La troisième, qui élève l'attaquant au niveau root, n'a pas encore de correctif.

Comment l'attaque a fonctionné

Volexity a découvert l'attaque sur l'appliance d'un client, entièrement à jour et sous la version 22.8R2.4, rapporte The Hacker News. Volexity suit l'attaquant inconnu sous le nom UTA0576 et indique qu'UTA0576 a commencé à exploiter cet appareil le 3 octobre. L'entreprise de renseignement sur les menaces Defused a observé les premiers signes d'exploitation dès le 1er octobre, selon BleepingComputer.

La chaîne comporte trois étapes :

1. Contournement de l'authentification. L'attaquant entre sans mot de passe.
2. Exécution de code à distance. L'attaquant exécute des commandes sur l'appliance.
3. Élévation de privilèges. Ces commandes s'exécutent alors en tant que root, le compte système tout-puissant.

Les deux premières relèvent de CVE-2026-104935, à laquelle Ivanti attribue une note de 8,6 sur 10. Ivanti prévoit de corriger la troisième « dans une prochaine version au cours des prochaines semaines », a indiqué Volexity.

Une fois à l'intérieur, l'attaquant a volé des identifiants stockés, dont des identifiants de domaine, et mené des attaques par pulvérisation de mots de passe (password spraying), rapporte The Hacker News. Selon iTnews, l'attaquant a aussi cherché des mots de passe d'administrateur local et des clés de récupération BitLocker, et capturé des identifiants en clair dans le trafic VPN.

Les versions concernées

Rapid7 liste ces versions concernées et leurs correctifs :

Version concernée	Corrigée dans
22.8R2.4	22.8R2.5
25.1.1.1	25.1.1.2
25.1.2.2	25.1.3.0 ou 25.1.3.1
22.7.x et antérieures	Non concernées

Ivanti a trouvé une partie de la faille grâce à son propre programme de sécurité et l'a corrigée dans la 25.1.3.0 en juillet, selon Rapid7. Les attaques ont eu lieu alors qu'Ivanti portait encore ce correctif vers les anciennes versions. Ivanti a déclaré à CyberScoop que la faille « n'atteignait pas le seuil justifiant une publication hors cycle », si bien que le correctif a suivi le calendrier habituel.

L'agence américaine de cybersécurité et de sécurité des infrastructures (Cybersecurity and Infrastructure Security Agency, CISA) a ajouté la faille à sa liste de vulnérabilités exploitées connues le 13 octobre. Les agences fédérales doivent appliquer le correctif d'ici le 16 octobre, rapporte iTnews.

Pourquoi la vérification habituelle peut passer à côté

L'attaquant n'a laissé presque aucune trace. Aucun malware ni web shell n'a été déployé, selon Volexity. À la place, l'attaquant a relancé toute la chaîne pour chaque commande et a falsifié les journaux de l'appareil.

L'exploit ne modifie par ailleurs le code qu'en mémoire et restaure les paramètres qu'il change, rapporte The Hacker News. Cela lui a permis d'échapper à l'Integrity Checker Tool d'Ivanti, l'outil d'analyse qu'Ivanti demande à ses clients d'exécuter. La CISA a averti que l'outil risque de ne pas détecter cette attaque, et recommande donc plutôt une analyse forensique du réseau et de la mémoire, rapporte CyberScoop.

Volexity estime, avec un niveau de confiance moyen, que l'attaquant a utilisé des modèles d'IA pour créer ses outils, indique iTnews. Volexity n'accorde qu'un faible niveau de confiance à l'hypothèse d'un motif criminel plutôt que d'espionnage.

« Les équipements en bordure de réseau constituent un point d'appui initial précieux et permettent souvent aux attaquants de progresser plus loin dans les réseaux ciblés », a déclaré Sean Koessel, Vice President of Professional Services chez Volexity, à CyberScoop.

Une cible familière

Ivanti décrit les attaques comme une « exploitation limitée en conditions réelles ». Aucune des deux entreprises n'a dit combien de clients ont été touchés. Shadowserver, une organisation à but non lucratif qui analyse Internet, recense plus de 5 500 appliances Connect Secure accessibles en ligne, selon BleepingComputer.

Ce n'est pas la première fois. Selon BleepingComputer, la liste de la CISA compte 36 failles d'Ivanti depuis novembre 2021, et des gangs de ransomware ont exploité 12 d'entre elles.

Ce que cela signifie pour les développeurs

Pour les équipes qui exploitent Ivanti Connect Secure ou en dépendent :

• Corrigez maintenant, pas à la prochaine fenêtre de maintenance. « Si vous utilisez l'une des versions concernées, Ivanti vous recommande d'agir immédiatement. » Rapid7 conseille aussi d'appliquer le correctif en dehors des cycles habituels.
• Ne considérez pas le correctif comme la fin de l'affaire. La troisième faille est toujours ouverte, et un appareil corrigé peut déjà être compromis. Recherchez des signes de compromission après la mise à niveau.
• Ne vous fiez pas au seul outil de vérification. L'Integrity Checker Tool n'a pas détecté cette chaîne. Examinez le trafic réseau de l'appliance, et utilisez l'analyse forensique de la mémoire quand c'est possible.
• Renouvelez ce que le VPN pouvait voir. L'attaquant a pris des identifiants de domaine et intercepté des mots de passe dans le trafic VPN. Réinitialisez les mots de passe des comptes de service et passez en revue les connexions récentes passées par l'appliance.
• Surveillez le troisième correctif. Ivanti l'a promis pour les prochaines semaines. D'ici là, limitez qui peut accéder à la page de connexion de l'appliance.