Corriger une appliance VPN compromise peut remédier à la vulnérabilité sans invalider les identifiants déjà dérobés par les attaquants. Ce risque est apparu après que des chercheurs ont découvert trois vulnérabilités zero-day exploitées en chaîne dans Ivanti Connect Secure pour dérober des identifiants et accéder à des informations sensibles de l’annuaire.
La Cybersecurity and Infrastructure Security Agency (CISA) a averti le 13 octobre 2026 que des attaquants exploitaient CVE-2026-104935 pour exécuter à distance des commandes non autorisées. L’agence a ajouté la faille à son catalogue Known Exploited Vulnerabilities et appelé à une remédiation immédiate. Les entreprises doivent également déterminer si les attaquants ont accédé à des systèmes internes avant la correction de la vulnérabilité.
La chaîne d’exploitation d’Ivanti expose les identifiants et les données d’annuaire
CVE-2026-104935 est une vulnérabilité de gravité élevée, avec un score CVSS de 8,6. Elle combine des failles de contournement de l’authentification et d’exécution de code à distance qui affectent Ivanti Connect Secure, une passerelle VPN d’entreprise.
Une enquête de Volexity a identifié un acteur malveillant, suivi sous le nom UTA0576, qui exploitait trois vulnérabilités sur une appliance exécutant la version 22.8R2.4, pourtant entièrement corrigée à l’époque. L’exploitation a débuté le 3 octobre.
La chaîne d’attaque combinait contournement de l’authentification, exécution de code à distance et élévation de privilèges pour obtenir un accès root. CVE-2026-104935 couvre les deux premières faiblesses. La faille distincte d’élévation de privilèges n’était toujours pas corrigée lorsque Volexity a publié ses conclusions le 13 octobre.
Yordan Ganchev, spécialiste principal du renseignement sur les menaces chez watchTowr, a indiqué que le contournement de l’authentification nécessitait uniquement une requête spécialement conçue contenant un X-DSCGI-PATHen-tête
« La cause première de la vulnérabilité est incroyablement simple », a déclaré Ganchev, en avertissant que l’exploitation pouvait rapidement passer d’attaques ciblées à une exploitation massive et indiscriminée.
Les attaquants ont extrait des identifiants LDAP stockés, exfiltré des métadonnées limitées d’Active Directory et recherché des mots de passe Windows LAPS ainsi que des clés de récupération BitLocker. Par ailleurs, des identifiants d’accès à distance dérobés dans des services des eaux américains illustrent la manière dont des données d’authentification exposées peuvent créer des possibilités d’accès non autorisé au réseau.
Les attaquants ont également modifié du code en mémoire, restauré des paramètres altérés et supprimé certains journaux. Aucun web shell persistant ni aucune porte dérobée n’ont été identifiés sur l’appliance examinée. Ces techniques peuvent contourner l’Ivanti Integrity Checker Tool, ce qui complique la détection. Des risques similaires apparaissent lorsque des systèmes de gestion de la sécurité compromis exposent les réseaux internes.
Corriger les versions concernées et rechercher une compromission
L’avis de sécurité d’Ivanti recense les versions concernées jusqu’aux versions 25.1.1.1, 25.1.2.2 et 22.8R2.4 dans leurs branches respectives. Les versions corrigées comprennent les versions 25.1.1.2, 25.1.3.0, 25.1.3.1 et 22.8R2.5. Les administrateurs doivent vérifier la version appropriée et la compatibilité matérielle avant la mise à niveau.
L’alerte de la CISA demande également de rechercher une éventuelle compromission. Les équipes de sécurité doivent donner la priorité aux actions suivantes :
- Corriger et restreindre l’accès : installez la version corrigée appropriée, limitez les connexions sortantes inutiles et restreignez l’accès à l’appliance aux seuls systèmes internes critiques.
- Rechercher les activités suspectes : examinez les journaux d’authentification, le trafic réseau et les éléments présents en mémoire à la recherche de requêtes contenant des valeurs d’
X-DSCGI-PATHen-tête suspectes, d’un accès anormal à/dana-na/auth/url_default/welcome.cgiet de fichiers inattendus sous/tmp/. - Préserver les preuves et restaurer les systèmes : recueillez les données d’analyse forensique avant de réinitialiser aux paramètres d’usine les appliances physiques compromises ou de reconstruire les instances virtuelles. Ne restaurez que des configurations vérifiées.
- Renouveler les identifiants et limiter les privilèges : réinitialisez les mots de passe potentiellement exposés, remplacez les certificats et les clés d’API concernés, et auditez les autorisations des comptes de service LDAP et Active Directory.
- Renforcer la supervision et l’authentification : imposez l’authentification multifacteur lorsqu’elle est applicable, surveillez les activités inhabituelles de Kerberos et LDAP, et centralisez les journaux de sécurité.
- Tester les plans de réponse aux incidents : validez le confinement, les investigations sur les déplacements latéraux, le renouvellement des identifiants et les procédures de restauration sécurisée.
La National Vulnerability Database fixe au 16 octobre 2026 la date limite de remédiation pour les agences fédérales civiles de l’exécutif américain concernées. Un récent cas d’exploitation de SharePoint montre également comment des vulnérabilités activement exploitées peuvent entraîner une accélération des obligations fédérales de remédiation.
L’installation du correctif remédie au point d’entrée documenté, mais les identifiants dérobés peuvent rester utilisables. Les entreprises doivent examiner les accès ultérieurs afin de déterminer si les attaquants ont atteint des systèmes au-delà de l’appliance VPN.
En savoir plus : une vulnérabilité critique de Citrix NetScaler souligne la nécessité de vérifier les configurations des passerelles concernées, d’installer les mises à jour de sécurité appropriées et de tester les services d’authentification après la mise à niveau.