Ivanti Connect Secure : un zero-day exploité
Ivanti Connect Secure est visé par un zero-day, CVE-2026-104935, exploité depuis début octobre. Versions touchées, attaque et mesures à prendre.
Les passerelles VPN Ivanti Connect Secure sont de nouveau la cible d'attaques. Le 13 octobre, l'éditeur a publié en urgence un correctif pour CVE-2026-104935, une faille de contournement d'authentification qu'il dit exploitée « de manière limitée » dans la nature. Découverte par la société Volexity, elle fait partie d'une chaîne d'exploitation qui donne un accès root sans authentification, y compris sur des appareils jusque-là à jour.
Une chaîne de trois failles
D'après l'analyse publiée par Volexity, l'attaque enchaîne trois vulnérabilités. La première, un contournement d'authentification dans le script welcome.cgi, permet d'atteindre des scripts CGI normalement réservés aux utilisateurs connectés. La deuxième, une écriture de fichier arbitraire dans wu.cgi, exploitée via une situation de compétition (race condition), ouvre l'exécution de code à distance. Ces deux failles sont couvertes par CVE-2026-104935 et corrigées depuis le 13 octobre.
La troisième pose davantage problème : une élévation de privilèges liée à la façon dont le service dsinvoked fait confiance à des données de configuration. Elle n'avait pas de correctif à la date de publication. Ivanti indique qu'il arrivera « dans une future version, dans les semaines à venir ».
Selon le Centre canadien pour la cybersécurité, les versions concernées sont Ivanti Connect Secure 22.8R2.4 et antérieures, 25.1.1.1 et antérieures, ainsi que 25.2.2 et antérieures. La CISA américaine a ajouté la faille à son catalogue des vulnérabilités activement exploitées dès le 13 octobre.
Un attaquant discret
Volexity attribue l'activité à un groupe qu'il suit sous le nom d'UTA0576. Les premières exploitations observées remontent au 3 octobre. L'attaquant n'a déployé ni logiciel malveillant ni web shell : il réexploitait la faille à chaque commande et faisait transiter commandes et résultats dans les requêtes HTTPS de l'exploit.
Une fois dans l'appliance, il a extrait des identifiants stockés, notamment des comptes LDAP du domaine, et fouillé l'Active Directory à la recherche de mots de passe LAPS et de clés de récupération BitLocker. Volexity relève aussi du Kerberoasting et de la pulvérisation de mots de passe. Pour effacer ses traces, le groupe modifiait les journaux d'audit et de débogage et supprimait ses propres scripts. Volexity prévient que l'outil de vérification d'intégrité d'Ivanti (Integrity Checker Tool) peut ne pas détecter cette compromission.
Ce qu'il faut faire
La priorité est d'installer la version corrective indiquée dans le bulletin d'Ivanti, puis de surveiller l'arrivée du correctif de la troisième faille. Ivanti recommande aussi d'exécuter régulièrement son outil de vérification d'intégrité, même si ses limites face à cette attaque invitent à ne pas s'en contenter.
Volexity conseille de rechercher dans les journaux un grand nombre de requêtes vers /dana-na/auth/url_default/welcome.cgi portant un en-tête X-DSCGI-PATH qui pointe vers wu.cgi ou vers /home/runtime/tmp/, ainsi que tout écart entre le chemin de l'URL et cet en-tête. La présence d'un répertoire caché .icscap ou d'un processus dsstatmond utilisé comme sniffeur est un autre signal. En cas de doute, ou de mouvement latéral depuis l'appliance, une investigation forensique complète s'impose, car les identifiants du domaine ont pu être exposés.
Cette alerte prolonge une série d'attaques contre les équipements de bordure, après la faille PAN-OS exploitée cette semaine et les vulnérabilités de Citrix NetScaler. Ivanti Connect Secure n'en est pas à son premier zero-day : plusieurs failles exploitées l'ont déjà visé en 2024 et en 2025.