La société Ivanti a publié des mises à jour de sécurité urgentes pour corriger deux nouvelles vulnérabilités « zero-day » dans ses passerelles d'accès à distance (Connect Secure - ICS), après la découverte de leur exploitation dans des attaques en chaîne débutées au début du mois d'octobre 2026. Cette initiative s'inscrit dans le cadre des efforts de l'entreprise pour combler les failles exploitées par les attaquants afin d'accéder à des niveaux de contrôle profonds au sein des réseaux d'entreprises.
Détails des vulnérabilités et mécanisme d'exploitation en chaîne
La première vulnérabilité, désignée sous le code CVE-2026-111357, est une faille à haut risque permettant une élévation de privilèges (Privilege Escalation), tandis que la seconde vulnérabilité, CVE-2026-118527, permet à des attaquants authentifiés de télécharger des fichiers malveillants sur des appareils non mis à jour. Les attaquants ont associé ces deux vulnérabilités à une troisième faille de contournement d'authentification (CVE-2026-104935) pour laquelle Ivanti avait publié un correctif le mois dernier.
L'entreprise a expliqué avoir d'abord décidé de se concentrer sur la résolution de la faille de contournement d'authentification car elle représentait le vecteur d'attaque principal, avant de découvrir ultérieurement que les attaquants utilisaient les autres vulnérabilités pour consolider leur présence au sein des systèmes. Ivanti a confirmé que cet enchaînement a permis aux attaquants d'exécuter des commandes au niveau « root » (Root-level), même sur des appareils que les organisations pensaient totalement protégés.
Comportement des attaquants et techniques de dissimulation
La société de cybersécurité Volexity, qui a détecté ces attaques, a révélé qu'un groupe de menace connu sous le nom de UTA0576 était à l'origine de ces opérations. La particularité de cette attaque réside dans le fait que les attaquants n'ont pas compté sur l'implantation de logiciels malveillants traditionnels ni de shells web (Web Shells), mais réexploitaient la vulnérabilité à chaque commande exécutée, tout en manipulant les journaux système pour effacer leurs traces et éviter d'être détectés par les outils de contrôle d'intégrité d'Ivanti.
La société de renseignement sur la sécurité Defused a également confirmé ces résultats, indiquant que les premiers signes d'exploitation active avaient débuté le 1er octobre, ce qui témoigne de la rapidité de réaction des attaquants face aux vulnérabilités nouvellement découvertes dans les infrastructures critiques.
Avertissements officiels et portée mondiale
En raison de la gravité de la situation, l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la vulnérabilité principale à son catalogue de vulnérabilités connues et exploitées, ordonnant aux agences fédérales de mettre immédiatement leurs systèmes à jour. Les données de l'observatoire Shadowserver indiquent la présence de plus de 5 000 appareils ICS exposés sur Internet, et le nombre exact d'appareils effectivement sécurisés à ce jour reste incertain.
Pourquoi cette nouvelle est-elle cruciale ?
Les passerelles d'accès à distance d'Ivanti constituent une cible privilégiée pour les groupes de cyberespionnage, en particulier ceux liés à des États, car elles offrent un accès direct aux réseaux des grandes entreprises pour dérober des données sensibles. Ce qui change concrètement ici, c'est que les attaquants sont désormais plus en mesure de se dissimuler via des « attaques sans fichier » (Fileless attacks), rendant le recours aux outils d'analyse traditionnels insuffisant. Les administrateurs système doivent non seulement installer les mises à jour, mais aussi examiner les journaux d'accès à la recherche de toute activité anormale remontant au début du mois d'octobre, la mise à jour corrigeant la vulnérabilité sans pour autant expulser un attaquant qui aurait déjà réussi à s'infiltrer dans le système et à y maintenir sa présence par d'autres moyens.