Ivanti a exhorté ses clients à mettre immédiatement à jour la passerelle d’accès à distance Ivanti Connect Secure après la divulgation de la vulnérabilité zero-day CVE-2026-104935, une vulnérabilité de contournement de l’authentification à haut risque exploitée dans des attaques réelles. La vulnérabilité affecte les versions 22.8R2.4 et antérieures, 25.1.2.2 et antérieures, ainsi que 25.1.1.1 et antérieures.
La vulnérabilité permet à des attaquants non autorisés d’exécuter des commandes arbitraires sur les appareils ciblés au moyen d’attaques peu complexes ne nécessitant aucune interaction de l’utilisateur. Connect Secure, auparavant connue sous le nom de Pulse Connect Secure et, avant cela, de Juniper Pulse, est utilisée pour fournir un accès sécurisé aux employés, aux contractuels et aux équipes hybrides aux ressources des entreprises et aux services cloud.
Une exploitation en plusieurs étapes
Ivanti a déclaré avoir observé une exploitation limitée de la vulnérabilité dans l’environnement Internet au moment de la divulgation, et a invité ses clients à consulter le bulletin de sécurité, à passer à une version corrigée et à exécuter régulièrement l’outil Integrity Checker. Mais la société Volexity, qui a découvert la vulnérabilité et l’a signalée, a déclaré qu’un acteur malveillant inconnu, qu’elle suit sous le nom d’UTA0576, l’utilisait depuis au moins le 3 octobre. Elle l’a associée à deux vulnérabilités supplémentaires pour exécuter du code avec les privilèges root sans authentification, y compris sur des appareils entièrement mis à jour.
Selon Volexity, l’acteur malveillant n’a pas déployé de logiciels malveillants ni d’outils web persistants ; il réexploitait plutôt l’appareil pour exécuter chaque commande, tout en manipulant les journaux afin de dissimuler ses traces et en parvenant à contourner l’outil Integrity Checker d’Ivanti. La société Defused a confirmé avoir détecté les premiers indicateurs d’exploitation de la vulnérabilité dans la nature le 1er octobre.
Qu’est-ce qui change concrètement ?
Le risque ne se limite pas à l’installation du correctif correspondant à la vulnérabilité actuelle, car Ivanti a indiqué qu’elle travaillait encore à corriger une vulnérabilité d’élévation de privilèges utilisée dans la même chaîne. Les opérateurs des appareils concernés doivent donc suivre l’intégralité du bulletin de sécurité, vérifier l’intégrité des systèmes et des journaux, et ne pas considérer le fait de franchir le contrôle d’Integrity Checker comme une preuve suffisante, à lui seul, de l’absence de compromission de l’appareil.
Shadowserver suit plus de 5 500 instances de Connect Secure exposées sur Internet, sans disposer d’informations permettant de déterminer combien d’appareils sont des honeypots ou ont déjà été sécurisés. Cela renforce l’importance d’identifier les actifs exposés et de hiérarchiser leur mise à niveau, d’autant que les passerelles d’accès à distance se trouvent à la frontière entre Internet et les réseaux des entreprises.
Un contexte récurrent pour un produit ciblé
Au cours des dernières années, Ivanti a corrigé plusieurs vulnérabilités zero-day dans Connect Secure exploitées lors d’attaques, notamment CVE-2023-46805 et CVE-2024-21887 en janvier 2024, puis CVE-2024-21893 plus tard le même mois, ainsi que les deux vulnérabilités d’exécution de code à distance CVE-2025-0282 et CVE-2025-22457 en 2025. L’Agence américaine de cybersécurité et de sécurité des infrastructures CISA a également recensé 36 vulnérabilités dans les produits Ivanti exploitées dans la nature depuis novembre 2021, dont 12 ont été détournées par des gangs de rançongiciels.
Analyse de certi.news : le changement concret réside ici dans le passage d’une vulnérabilité de contournement de l’authentification du stade de la divulgation à celui de l’exploitation pratique, donnant à l’attaquant la capacité d’exécuter des commandes avec des privilèges élevés, avec des indices de méthodes visant à éviter les outils de vérification. L’ampleur de l’exploitation et le nombre d’appareils effectivement compromis restent toutefois indéterminés, ce qui fait de la mise à jour et de la vérification forensique des systèmes concernés deux étapes parallèles et indissociables.