La Cybersecurity and Infrastructure Security Agency américaine (CISA) a exhorté les équipes de sécurité à mettre immédiatement à jour les appareils Ivanti Connect Secure, après avoir confirmé l’exploitation d’une vulnérabilité de contournement de l’authentification dans des attaques zero-day depuis au moins le 1er octobre.
La vulnérabilité, enregistrée sous l’identifiant CVE-2026-104935, est classée comme présentant un risque élevé et permet à des attaquants distants et non privilégiés d’exécuter des commandes arbitraires sur les systèmes ciblés. Les attaques ne nécessitent aucune interaction de l’utilisateur, ce qui accroît leur dangerosité pour les appareils exposés sur Internet.
Mises à jour d’Ivanti et exploitation observée
Ivanti a publié mardi les versions 22.8R2.5, 25.1.3.0, 25.1.3.1 et 25.1.1.2 pour corriger la faille, et a exhorté ses clients à agir immédiatement, en indiquant qu’une exploitation limitée avait été observée dans la nature.
La société Volexity a déclaré qu’un acteur de la menace non identifié, qu’elle suit sous le nom d’UTA0576, avait commencé, depuis au moins le 3 octobre, à combiner cette vulnérabilité avec deux autres failles pour mener une chaîne d’attaque associant contournement de l’authentification, exécution de code à distance et élévation de privilèges, jusqu’à exécuter des commandes avec les privilèges root sans authentification.
Selon Volexity, les activités post-compromission ont ciblé des identifiants et des secrets Active Directory, notamment les mots de passe de Local Administrator Password Solution (LAPS) et les clés de récupération BitLocker. La société Defused a également confirmé avoir trouvé des indicateurs d’exploitation de la vulnérabilité dans la nature depuis le 1er octobre.
Pourquoi cette actualité est-elle importante ?
Shadowserver surveille plus de 5 600 hôtes exposés sur Internet et présentant des empreintes d’Ivanti Connect Secure, mais ce nombre n’indique pas combien d’entre eux sont sécurisés ou correspondent à des environnements de surveillance factices. L’installation de la mise à jour ne suffit donc pas à prouver qu’aucune compromission n’a eu lieu, d’autant que les commandes des attaquants peuvent être exécutées en mémoire.
La CISA a ajouté la vulnérabilité à son catalogue des vulnérabilités exploitées connues et a imposé aux agences civiles exécutives fédérales de sécuriser leurs réseaux d’ici vendredi, conformément à la directive opérationnelle obligatoire BOD 26-04. Elle a également adressé un avertissement distinct à toutes les équipes de sécurité et aux administrateurs réseau afin qu’ils mettent les systèmes à jour et vérifient les indicateurs de compromission.
Que faire en cas de suspicion de compromission ?
La CISA déconseille de se fier uniquement à l’Integrity Checker Tool d’Ivanti, car celui-ci pourrait ne pas détecter les traces d’exploitation de CVE-2026-104935 lorsque les commandes sont exécutées en mémoire. L’agence recommande de procéder à une analyse forensique du réseau et de la mémoire, puis de suivre les étapes suivantes lorsqu’une compromission est confirmée :
- Créer une sauvegarde de la configuration de l’appareil.
- Effectuer une réinitialisation aux paramètres d’usine et installer la dernière version ; les systèmes cloud et virtuels doivent être reconstruits et mis à jour.
- Restaurer la configuration à partir de la sauvegarde.
- Modifier les mots de passe de tous les comptes, y compris ceux des domaines, des administrateurs et les comptes locaux.
- Révoquer les certificats stockés et en émettre de nouveaux, ainsi que réinitialiser les clés API et les identifiants du serveur de licences.
Cet incident s’inscrit dans une série de vulnérabilités d’Ivanti Connect Secure exploitées sur le terrain au cours des dernières années. Depuis novembre 2021, la CISA a ajouté 36 vulnérabilités liées à Ivanti à son catalogue des vulnérabilités exploitées connues, dont 12 ont également été utilisées dans des attaques par rançongiciel.