L'essentiel
Les passerelles VPN Ivanti Connect Secure sont activement attaquées via une chaîne de trois zero-days qui donne les droits root à un attaquant non authentifié, même sur des équipements entièrement à jour. Ivanti a publié le 13 octobre 2026 les correctifs de deux failles sous la référence CVE-2026-104935, et l'agence américaine CISA a donné aux administrations fédérales jusqu'au 16 octobre pour les appliquer. Une faille d'élévation de privilèges reste sans correctif : les équipes qui exploitent l'accès distant au sein de leur infrastructure cloud et DevOps doivent donc corriger et rechercher les traces d'intrusion en même temps.
Que s'est-il passé avec Ivanti Connect Secure ?
Volexity indique avoir commencé le 5 octobre à analyser un équipement Connect Secure suspect et y avoir trouvé un attaquant exécutant des commandes en root sur un boîtier qui disposait de toutes les mises à jour disponibles. Le groupe, suivi par Volexity sous le nom d'UTA0576, exploitait l'équipement depuis au moins le 3 octobre ; d'autres sources situent la première exploitation confirmée au 1er octobre. Selon Ivanti, un nombre limité de clients a été compromis avant la divulgation.
Ivanti a publié les correctifs le 13 octobre. D'après CyberScoop, l'éditeur avait identifié au moins une partie du problème en interne dès juin, mais avait jugé qu'il ne justifiait pas une publication hors cycle et l'avait programmé pour une version normale – une décision que les attaquants ont prise de vitesse. La CISA a ajouté CVE-2026-104935 à son catalogue Known Exploited Vulnerabilities le jour même, laissant trois jours aux agences fédérales civiles américaines pour corriger.
Comment fonctionne la chaîne d'exploitation ?
La chaîne compte trois maillons. Le premier est un contournement d'authentification dans le gestionnaire welcome.cgi de l'équipement, qui permet de router une requête non authentifiée vers d'autres scripts CGI. Le deuxième est une faille d'écriture de fichier dans wu.cgi, qui transforme cet accès en exécution de code à distance. Ivanti couvre les deux sous CVE-2026-104935 et affirme avoir « entièrement traité la composante d'exécution de code à distance non authentifiée ».
Le troisième maillon est une élévation de privilèges qui fait passer l'attaquant du processus web à root. Ivanti l'a confirmée, mais n'a encore ni publié de correctif ni attribué de CVE publique. Concrètement, le correctif coupe la chaîne à son point d'entrée, d'où l'urgence de l'appliquer. Mais tout autre point d'appui sur l'équipement – une session d'administration volée, une future faille web – permettrait encore d'atteindre root jusqu'à la prochaine version.
Pourquoi cette intrusion est-elle si difficile à détecter ?
UTA0576 n'a installé ni web shell ni porte dérobée persistante. Volexity a constaté que l'attaquant relançait toute la chaîne d'exploitation pour chaque commande, modifiait le code des bibliothèques Ivanti uniquement en mémoire, restaurait ensuite le magasin de configuration et effaçait ses traces des journaux de l'équipement. Comme rien ne change sur le disque, l'Integrity Checker Tool d'Ivanti – le contrôle sur lequel de nombreuses équipes devaient s'appuyer après les incidents Connect Secure précédents – déclare l'équipement sain.
Ce que l'attaquant a fait de cet accès est plus inquiétant encore. Volexity décrit l'extraction d'identifiants, des dumps de l'Active Directory, du Kerberoasting, des requêtes LDAP visant les mots de passe d'administrateur local LAPS et les clés de récupération BitLocker, du password spraying et la capture du trafic LDAP. Le VPN a donc servi de tremplin vers la couche d'identité, et corriger l'équipement n'annule rien de ce qui a été dérobé avant le correctif.
Ce que cela signifie pour les équipes aux États-Unis et dans l'UE
Les équipements de bordure restent le maillon faible de nombreux réseaux d'entreprise. Les passerelles VPN sont exposées sur Internet, détiennent des identifiants à privilèges et sont rarement couvertes par l'EDR qui protège postes et serveurs. C'est le dernier épisode d'une longue série de zero-days Connect Secure, et il montre qu'« entièrement à jour » ne veut pas dire sûr quand le cycle de correctifs d'un éditeur a des mois de retard sur les attaquants.
À plus long terme, c'est le bon moment pour se demander si une seule appliance VPN doit rester la porte d'entrée. Faire évoluer l'accès distant vers des proxys fondés sur l'identité, des identifiants à courte durée de vie et des chemins d'administration segmentés limite la portée d'un boîtier compromis – et fait du prochain zero-day de bordure un incident plutôt qu'une fuite de données.
Quelles conséquences pour les entreprises françaises ?
En France, les passerelles Ivanti sont courantes dans les ETI, les collectivités et les établissements de santé, et le CERT-FR de l'ANSSI a déjà publié des alertes lors des précédentes vagues d'exploitation de Connect Secure : c'est la première source à suivre pour les indicateurs et recommandations en français. Côté obligations, une violation de données personnelles doit être notifiée à la CNIL dans les 72 heures au titre de l'article 33 du RGPD, et la transposition de NIS2 élargit fortement le nombre d'entités soumises à un signalement rapide des incidents significatifs à l'ANSSI.
Dans les deux cas, « nous avons appliqué le correctif dès le premier jour » ne suffit pas : il faut pouvoir établir si l'exploitation a eu lieu avant. Conservez dès maintenant les journaux des pare-feu et proxys situés en amont, avant que leur durée de rétention ne les efface, et documentez l'analyse et la décision prise – c'est ce que la CNIL ou un auditeur demanderont en premier.
Que faire cette semaine ?
- Corriger. Passez chaque équipement Ivanti Connect Secure en 22.8R2.5, 25.1.1.2, 25.1.3.0 ou 25.1.3.1.
- Chasser, pas seulement scanner. Recherchez dans les journaux web et proxy les requêtes vers
/dana-na/auth/url_default/welcome.cgiportant un en-têteX-DSCGI-PATH, et vérifiez/tmp/sur l'équipement à la recherche d'artefacts, comme le recommande Volexity. - Aller au-delà de l'Integrity Checker. Pour les équipements exposés depuis début octobre, prévoyez une analyse forensique mémoire et réseau ou une revue assistée par l'éditeur.
- Renouveler les secrets. En cas de doute, réinitialisez les identifiants mis en cache ou relayés par le VPN, les comptes de service exposés au Kerberoasting, les mots de passe LAPS et les clés de récupération BitLocker.
- Trancher la question des notifications. Avec le DPO et la conformité, déterminez si un délai RGPD ou NIS2 court, et conservez les éléments qui fondent la décision.
- Surveiller le troisième correctif. Suivez l'avis d'Ivanti sur la mise à jour contre l'élévation de privilèges et gardez les interfaces d'administration hors d'Internet d'ici là.
Questions fréquentes
Qu'est-ce que CVE-2026-104935 ?
CVE-2026-104935 est une vulnérabilité de gravité élevée (CVSS 8,6) d'Ivanti Connect Secure, divulguée le 13 octobre 2026. Elle couvre un contournement d'authentification dans le gestionnaire welcome.cgi de l'équipement et une faille d'écriture de fichier dans wu.cgi qui, enchaînés, permettent à un attaquant distant d'exécuter des commandes sans se connecter. La CISA l'a ajoutée le jour même au catalogue Known Exploited Vulnerabilities.
Quelles versions d'Ivanti Connect Secure corrigent la faille zero-day ?
Ivanti indique 22.8R2.5, 25.1.1.2, 25.1.3.0 et 25.1.3.1 comme versions corrigées. Les équipements en 22.8R2.4 ou antérieure, 25.1.1.1 ou antérieure, ou en 25.1.2.x doivent être mis à jour. Les agences fédérales civiles américaines avaient jusqu'au 16 octobre 2026 pour corriger.
La chaîne d'exploitation Ivanti est-elle entièrement corrigée ?
Non. Volexity a identifié trois failles enchaînées. Deux sont corrigées sous CVE-2026-104935, ce qui supprime l'exécution de code à distance sans authentification. La troisième, une élévation locale de privilèges jusqu'à root, est confirmée par Ivanti mais son correctif est prévu dans les prochaines semaines : les équipements corrigés doivent donc rester sous surveillance.
Une entreprise française doit-elle notifier l'incident ?
Cela dépend des faits. Si des données personnelles ont été compromises, l'article 33 du RGPD impose une notification à la CNIL dans les 72 heures. Si l'entreprise relève de NIS2 et que l'incident est significatif, un signalement rapide à l'ANSSI s'ajoute. La décision doit reposer sur des journaux conservés, pas seulement sur la date d'application du correctif.
Sources
Volexity — A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days (October 13, 2026)
CyberScoop — Ivanti misses opportunity to fix vulnerability before attackers made it a zero-day (October 2026)
SecurityWeek — Ivanti Zero-Day Chain Gave Attackers Root Access to Fully Patched VPN (October 2026)
The Hacker News — Attacker Chains Three Ivanti Connect Secure Zero-Days for Root Access (October 2026)