VPN Ivanti Connect Secure : une faille zero-day exploitée depuis début octobre, une partie de l'attaque reste sans correctif

Encore Ivanti. Le 13 octobre 2026, l’éditeur américain a corrigé une faille « zero-day » dans Connect Secure, ses passerelles VPN utilisées par de nombreuses entreprises et administrations pour le télétravail. Problème : des pirates l’exploitaient depuis au moins le 3 octobre. Et l’attaque complète repose sur une autre faille qui, elle, n’est pas encore corrigée.

La faille

Elle porte le numéro CVE-2026-104935 et Ivanti lui attribue une note de 8,6 sur 10. Elle permet à un attaquant distant et non authentifié, c’est-à-dire sans identifiant ni mot de passe, d’exécuter des commandes sur l’appareil. Aucune action d’un utilisateur n’est nécessaire.

Sont concernées les versions 22.8R2.4 et antérieures, 25.1.1.1 et antérieures et 25.1.2.2 et antérieures. Les versions corrigées sont listées dans l’avis de sécurité d’Ivanti, qui évoque une « exploitation limitée » à ce stade.

Trois failles enchaînées

C’est la société de cybersécurité Volexity qui a découvert l’attaque, chez l’un de ses clients, au début du mois d’octobre. Elle l’attribue à un groupe qu’elle nomme UTA0576. Les pirates enchaînent trois failles :

1. un contournement de l’authentification, pour accéder à des pages normalement protégées ;
2. une faille qui permet de déposer puis exécuter un fichier sur l’appareil ;
3. une élévation de privilèges qui leur donne les droits « root », le contrôle total.

Les deux premières sont couvertes par CVE-2026-104935 et corrigées. La troisième ne l’est pas encore : Ivanti dit y travailler. En clair, même un appareil à jour reste exposé si un attaquant trouve un autre moyen d’y entrer.

Des pirates très discrets

L’attaque frappe par sa discrétion. Les pirates n’ont installé ni logiciel malveillant ni porte dérobée. Ils exploitaient la faille à nouveau pour chaque commande, puis effaçaient leurs traces dans les journaux et remettaient tout en ordre derrière eux.

Une fois dans la place, ils ont volé les identifiants stockés sur le VPN, dont des comptes du réseau de l’entreprise. Ils ont ensuite cherché dans l’annuaire Active Directory des mots de passe d’administrateurs et des clés de récupération BitLocker (les clés qui débloquent les disques chiffrés), et tenté de deviner les mots de passe d’autres comptes.

Volexity prévient même que l’outil de vérification d’Ivanti, l’Integrity Checker, pourrait ne pas détecter un appareil compromis.

L’agence américaine CISA a ajouté la faille le 13 octobre à son catalogue des vulnérabilités activement exploitées. Selon BleepingComputer, c’est la 36e faille Ivanti à y figurer depuis novembre 2021.

Que faire

1. Mettre à jour immédiatement vers la version corrigée indiquée dans l’avis d’Ivanti.
2. Surveiller un nombre anormal de requêtes vers /dana-na/auth/url_default/welcome.cgi et fouiller le répertoire /tmp/ de l’appareil, comme le recommande Volexity.
3. En cas de doute, considérer l’appareil comme compromis : changer les mots de passe des comptes qui y étaient enregistrés et lancer une analyse plus poussée.
4. Suivre l’avis d’Ivanti pour le correctif de la troisième faille, attendu dans les prochaines semaines.