Ivanti a révélé le 13 octobre 2026 qu’une faille de sa passerelle VPN Connect Secure, CVE-2026-104935, était exploitée avant toute correction. L’attaquant l’a combinée à deux autres défauts pour exécuter des commandes avec les droits les plus élevés, sans s’authentifier. Deux maillons de la chaîne sont corrigés ; le troisième, une élévation de privilèges, ne l’était pas encore à la mi-octobre.
Une chaîne de trois failles jusqu’au compte root
Selon The Hacker News, CVE-2026-104935 regroupe un contournement d’authentification et une exécution de code à distance, qui permettent ensemble de lancer du code avec les droits d’un service web de l’appareil. Un troisième défaut, sans numéro public dans l’article, permet ensuite de passer au compte root. Ivanti note la faille corrigée à 8,6 sur 10 sur l’échelle CVSS.
The Hacker News indique que les versions de Connect Secure antérieures à 25.1.3.0 sont touchées, et que l’avis liste 22.8R2.5, 25.1.3.0 et 25.1.3.1 comme non affectées. Help Net Security précise qu’Ivanti avait déjà repéré et corrigé une partie du problème dans la version 25.1.3.0, publiée en juillet. D’après The Hacker News, le correctif de l’élévation de privilèges est annoncé par Ivanti pour une version à venir dans les prochaines semaines, et aucun contournement temporaire n’a été proposé aux clients qui ne peuvent pas mettre à jour.
Un attaquant discret, invisible pour l’outil de contrôle d’Ivanti
La découverte revient à la société Volexity, qui suit l’attaquant sous le nom UTA0576. Elle a observé l’attaque sur l’appareil d’un client à jour, en version 22.8R2.4, exploité à partir du 3 octobre ; la société Defused Cyber rapporte une activité dès le 1er octobre, selon Help Net Security. Volexity estime, avec une confiance faible, que le motif serait plutôt criminel que lié à l’espionnage.
Le mode opératoire est ce qui inquiète le plus. Volexity n’a trouvé ni porte dérobée ni webshell sur l’appareil, selon The Hacker News. L’exploit ne modifie le code des bibliothèques qu’en mémoire et remet en place les données de configuration qu’il altère : l’outil de vérification d’intégrité d’Ivanti (Integrity Checker Tool) ne détecte donc pas cette chaîne. Volexity juge qu’une investigation forensique est nécessaire, rapporte Help Net Security.
Une fois dans la place, l’intrus a visé les identifiants : comptes LDAP du domaine stockés sur l’appareil, recherches de mots de passe dans l’annuaire Active Directory, tentatives de connexion en masse. Volexity estime avec une confiance élevée que ces actions préparaient un déplacement latéral et une compromission plus large du réseau, selon Help Net Security.
Une urgence fédérale aux États-Unis, une alerte pour tous
La CISA a ajouté la faille à son catalogue des vulnérabilités activement exploitées et imposé aux agences fédérales civiles de traiter la faille et de mener un tri forensique avant le 16 octobre, selon Help Net Security. Cette obligation ne vaut que pour l’administration américaine, mais elle donne la mesure de l’urgence pour toute organisation équipée. The Hacker News rapporte que la CISA qualifie l’exploitation d’« active » et l’impact technique de « total ».
Ni Ivanti ni Volexity n’ont dit combien de clients ont été touchés : l’éditeur parle d’une exploitation « limitée ».
Deux autres produits Ivanti corrigés le même jour
Le 13 octobre, Ivanti a aussi publié des correctifs pour deux autres produits, selon The Hacker News : CVE-2026-106042 dans Xtraction (versions antérieures à 2026.4) et CVE-2026-109412 dans Neurons Patch for Intune, toutes deux notées 9,9 sur 10 par l’éditeur. Ivanti dit n’avoir connaissance d’aucune exploitation de ces deux failles.
Pour les organisations qui utilisent Connect Secure, la priorité reste la passerelle VPN : appliquer la mise à jour disponible, surveiller la publication du correctif de l’élévation de privilèges, et rechercher les indicateurs publiés par Volexity, puisque l’outil d’intégrité de l’éditeur ne voit pas cette attaque. Un point reste flou : l’appareil compromis tournait en 22.8R2.4, présentée comme à jour, alors que la liste des versions non affectées citée par The Hacker News mentionne 22.8R2.5. Ce décalage n’est pas expliqué à ce stade.
Questions fréquentes
Mettre à jour suffit-il ?
Non. La mise à jour ferme deux des trois failles, et rien n’indique qu’elle supprime un accès déjà obtenu. Une recherche de compromission reste nécessaire.
Comment repérer une attaque ?
The Hacker News cite des requêtes massives vers le chemin /dana-na/auth/url_default/welcome.cgi, un en-tête X-DSCGI-PATH incohérent et un répertoire /data/.icscap/ comme indicateurs.
Qui est derrière l’attaque ?
Volexity la nomme UTA0576, sans attribution à un groupe connu, et penche avec une confiance faible pour un motif criminel.
Sources
- Attackers chained three Ivanti zero-days to gain root on fully patched VPN appliances — Help Net Security, 2026-10-14
- Attacker Chains Three Ivanti Connect Secure Zero-Days for Root Access, Only Two Patched So Far — The Hacker News, 2026-10-13