Ivanti Connect Secure : deux failles de plus au KEV

La chaîne d'attaque qui vise les passerelles VPN Ivanti Connect Secure s'éclaircit. Le 30 octobre 2026, l'agence américaine de cybersécurité (CISA) a ajouté deux nouvelles vulnérabilités d'Ivanti Connect Secure, CVE-2026-111357 et CVE-2026-118527, à son catalogue des failles activement exploitées (KEV). Elles complètent CVE-2026-104935, le zero-day inscrit au même catalogue le 13 octobre.

Trois failles, une seule chaîne

Nous avions détaillé mi-octobre le zero-day qui a lancé l'alerte : CVE-2026-104935, un contournement d'authentification par usurpation qui permet à un attaquant distant, sans identifiants, d'exécuter des commandes arbitraires. Les deux failles ajoutées cette semaine sont celles qui l'accompagnaient dans les attaques observées.

D'après les fiches de la CISA :

• CVE-2026-111357 est une absence d'authentification sur une fonction critique. Elle permet à un attaquant local déjà authentifié d'élever ses privilèges.
• CVE-2026-118527 relève de la génération d'identifiants prévisibles. Un attaquant distant authentifié peut ainsi déposer des fichiers au contenu de son choix à un emplacement connu sur le disque.

Prises isolément, ces deux failles exigent un accès préalable. Combinées au contournement d'authentification, elles donnent un contrôle étendu de l'appareil. La CISA précise que l'exploitation observée a servi à voler des identifiants et à exfiltrer des données.

Les versions concernées

L'alerte de la CISA, révisée le 30 octobre, liste les versions d'Ivanti Connect Secure touchées :

• 25.1.1.2 et antérieures ;
• 25.1.2.2 et antérieures ;
• 22.8R2.5 et antérieures.

L'agence renvoie à l'avis de sécurité d'Ivanti pour les versions correctives et recommande de passer à la dernière version disponible, en suivant le guide de compatibilité de la branche 25.x. Elle rappelle aussi que la branche 22.8 arrive en fin de vie le 31 janvier 2027 : c'est l'occasion de planifier la migration.

Des échéances serrées pour les agences fédérales

Les agences civiles fédérales américaines ont jusqu'au 2 novembre pour traiter CVE-2026-111357 et jusqu'au 13 novembre pour CVE-2026-118527. Pour la première, la CISA impose en plus un tri forensique. Ces délais ne s'appliquent qu'à l'administration américaine, mais l'agence encourage toutes les organisations à prioriser les failles du catalogue KEV.

Patcher ne suffit pas

Le point le plus important de l'alerte concerne la détection. Les commandes s'exécutant en mémoire, l'outil Integrity Checker d'Ivanti peut ne pas repérer l'activité liée à CVE-2026-104935. En cas de doute, la CISA recommande une analyse forensique du réseau et de la mémoire.

Pour un équipement possiblement compromis, la procédure conseillée est la suivante :

1. sauvegarder la configuration de l'appareil ;
2. le réinitialiser en usine puis le mettre à jour, ou reconstruire l'instance pour un déploiement cloud ou virtuel ;
3. restaurer la configuration ;
4. réinitialiser tous les mots de passe (domaine, administrateurs, comptes locaux), révoquer et réémettre les certificats stockés, renouveler les clés d'API et les identifiants du serveur de licences.

Une passerelle VPN exposée sur Internet reste l'une des cibles favorites des attaquants. Les équipes qui ont appliqué le correctif d'octobre sans investigation complémentaire ont tout intérêt à vérifier la version installée et à rechercher des traces de compromission antérieures à la mise à jour.