Corriger une appliance VPN compromise peut remédier à la vulnérabilité sans invalider les identifiants déjà dérobés par les attaquants. Ce risque est apparu après que des chercheurs ont découvert trois vulnérabilités zero-day exploitées en chaîne dans Ivanti Connect Secure pour voler des identifiants et accéder à des informations sensibles d’annuaire.
La Cybersecurity and Infrastructure Security Agency (CISA) a averti le 13 octobre 2026 que des attaquants exploitaient CVE-2026-104935 pour exécuter des commandes à distance sans autorisation. L’agence a ajouté la faille à son catalogue des vulnérabilités connues comme exploitées et a appelé à une remédiation immédiate. Les entreprises doivent également déterminer si les attaquants ont accédé à des systèmes internes avant la correction de la vulnérabilité.
La chaîne d’exploitation d’Ivanti expose des identifiants et des données d’annuaire
CVE-2026-104935 est une vulnérabilité de gravité élevée, avec un score CVSS de 8,6. Elle combine des failles de contournement de l’authentification et d’exécution de code à distance qui affectent Ivanti Connect Secure, une passerelle VPN d’entreprise.
Une enquête menée par Volexity a identifié un acteur malveillant, suivi sous le nom UTA0576, qui exploitait trois vulnérabilités contre une appliance exécutant la version 22.8R2.4, entièrement corrigée à l’époque. L’exploitation a commencé le 3 octobre.
La chaîne d’attaque combinait contournement de l’authentification, exécution de code à distance et élévation de privilèges pour obtenir un accès root. CVE-2026-104935 couvre les deux premières faiblesses. La faille distincte d’élévation de privilèges n’était toujours pas corrigée lorsque Volexity a publié ses conclusions le 13 octobre.
Les attaquants ont extrait des identifiants LDAP stockés, exfiltré des métadonnées limitées d’Active Directory et recherché des mots de passe Windows LAPS ainsi que des clés de récupération BitLocker. Par ailleurs, des identifiants d’accès à distance dérobés auprès de services des eaux américains illustrent la manière dont des données d’authentification exposées peuvent créer des possibilités d’accès non autorisé au réseau.
Les attaquants ont également modifié du code en mémoire, rétabli des paramètres altérés et supprimé certains journaux. Aucun web shell ni aucune porte dérobée persistante n’ont été identifiés sur l’appliance examinée. Ces techniques peuvent contourner l’Ivanti Integrity Checker Tool, ce qui complique la détection. Des risques similaires apparaissent lorsque des systèmes de gestion de la sécurité compromis exposent les réseaux internes.
Corriger les versions concernées et rechercher les compromissions
L’avis de sécurité d’Ivanti identifie les versions concernées jusqu’aux versions 25.1.1.1, 25.1.2.2 et 22.8R2.4 dans leurs branches respectives. Les versions corrigées comprennent 25.1.1.2, 25.1.3.0, 25.1.3.1 et 22.8R2.5. Les administrateurs doivent vérifier la version appropriée et la compatibilité matérielle avant la mise à niveau.
L’alerte de la CISA appelle également à rechercher une éventuelle compromission. Les équipes de sécurité doivent prioriser les actions suivantes :
- Corriger et restreindre l’accès : Installer la version corrigée appropriée, limiter les connexions sortantes inutiles et restreindre l’accès à l’appliance aux seuls systèmes internes critiques.
- Rechercher les activités suspectes : Examiner les journaux d’authentification, le trafic réseau et les éléments présents en mémoire à la recherche de requêtes inhabituelles adressées à
/dana-na/auth/url_default/welcome.cgi, desX-DSCGI-PATHvaleurs inattendues, et des fichiers suspects sous/tmp/. - Préserver les preuves et rétablir les systèmes : Recueillir les données forensiques avant de réinitialiser les appliances physiques compromises ou de reconstruire les instances virtuelles. Ne restaurer que des configurations vérifiées.
- Renouveler les identifiants et limiter les privilèges : Réinitialiser les mots de passe potentiellement exposés, remplacer les certificats et clés d’API concernés et auditer les autorisations des comptes de service LDAP et Active Directory.
- Renforcer la supervision et l’authentification : Imposer l’authentification multifacteur lorsque cela est possible, surveiller les activités inhabituelles de Kerberos et LDAP et centraliser les journaux de sécurité.
- Tester les plans de réponse aux incidents : Valider le confinement, les investigations relatives aux déplacements latéraux, la rotation des identifiants et les procédures de rétablissement sécurisé.
La National Vulnerability Database fixe au 16 octobre 2026 la date limite de remédiation pour les agences civiles fédérales de l’exécutif américain concernées. Un cas récent d’exploitation de SharePoint montre également comment des vulnérabilités activement exploitées peuvent entraîner une accélération des obligations fédérales de remédiation.
L’installation du correctif remédie au point d’entrée documenté, mais les identifiants dérobés peuvent rester utilisables. Les entreprises doivent examiner les accès ultérieurs afin de déterminer si les attaquants ont atteint des systèmes au-delà de l’appliance VPN.
À lire également : une vulnérabilité critique de Citrix NetScaler met en évidence la nécessité de vérifier les configurations des passerelles concernées, d’installer les mises à jour de sécurité appropriées et de tester les services d’authentification après la mise à niveau.