CISA met en garde contre l'exploitation active d'Ivanti Connect Secure par CVE-2026-104935

Ivanti Connect Secure (ICS), la plateforme VPN / SSL largement utilisée pour l'accès à distance, est activement exploité dans la nature par une vulnérabilité de pas d'authentification qui permet l'exécution à distance des commandes. L'échec, identifié comme CVE-2026-104935 et avec un score CVSS de 8,6, a été noté par l'Agence américaine de l'infrastructure et de la cybersécurité. Les États-Unis (CISA), qui l'ont également inclus dans son catalogue de Vulnérables exploités connus (KEV), qui oblige les agences fédérales américaines à le corriger avant le 16 octobre 2026, et ont exhorté les opérateurs à mettre à jour leurs appareils Ivanti à la dernière version. Les versions concernées par la décision sont 25.1.1.1 et plus, 25.1.2.2 et plus, et 22.8R2.4 et plus; Ivanti avertit en outre que la branche 22.8 atteindra la fin de sa vie le 31 janvier 2027.

D'une manière confirmée par des sources publiques, plusieurs équipes d'intervention ont observé des tentatives d'exploitation. Volexity a rapporté une activité d'exploitation depuis au moins le 3 octobre 2026, attribuant des campagnes d'un acteur qui a appelé UTA0576 et qui, selon son analyse, combine le contournement d'authentification avec une vulnérabilité supplémentaire de l'escalade des privilèges pour obtenir l'exécution comme racine sans références. Quelle que soit la motivation de l'acteur, Volexity documente la post-exploitation en accord avec le vol d'identités, l'extraction de métadonnées Active Directory, le déploiement d'outils pour les attaques Kerberoast et la recherche de clés BitLocker. En parallèle, la société Previdian a enregistré 105 tentatives d'exploitation visant ses pots à miel jusqu'au 14 octobre 2026, provenant de dizaines de PI différents, indiquant des campagnes coordonnées et des tests actifs de la capacité d'exécution à distance.

Ce qui se passe techniquement(confirmé et expliqué) : la vulnérabilité permet à un attaquant distant de sauter le processus d'authentification et d'atteindre les gestionnaires internes de l'application (CGI). Les chercheurs ont observé l'abus de l'en-tête HTTP X-DSWGI-PATH pour diriger les requêtes vers un gestionnaire interne qui accepte les fichiers; les attaquants chargent des paquets qui semblent être ZIP mais contiennent des scripts Perl. Si l'exécution à distance fonctionne, ces scripts renvoient des marqueurs uniques qui confirment le succès de l'explosion. Dans certains incidents documentés, cette exécution initiale a été complétée par des vecteurs d'escalade pour obtenir des privilèges système et effectuer des actions post-exploitation conçues pour maximiser l'accès et la persistance.

Qui elle affecte(confirmé): toute organisation utilisant Ivanti Connect Secure dans les versions ci-dessus et ayant l'appareil accessible à partir de réseaux peu fiables est en danger. Cela inclut les applications physiques, les instances virtuelles et les déploiements en nuage. Le risque est particulièrement important pour les infrastructures qui exposent l'accès à distance à l'administration publique de l'Internet ou au VPN sans contrôle d'accès supplémentaire.

Conséquences effectives et observées(confirmé et estimé): après l'opération, les adversaires ont réussi à voler les identifiants stockés dans l'application, capturer le trafic LDAP / AD et déployer des outils de post-opération qui permettent la recherche de mots de passe administratifs et la récupération des clés de disque. La volatilité décrit également les tentatives délibérées de supprimer ou de modifier des enregistrements et de laisser le système dans un état qui rend la détection difficile. Au niveau opérationnel, cela peut entraîner l'accès aux comptes d'entreprise, le mouvement latéral au sein des réseaux internes, l'engagement d'infrastructures d'authentification critiques et l'exfiltration de données sensibles. Les campagnes observées jusqu'à présent se sont concentrées sur les tests de performance, mais les rapports indiquent que la prochaine phase consiste probablement en charges utiles plus nocives et ciblées.

Ce qui est confirmé:: L ' existence de CVE-2026-104935; l ' exploitation active documentée depuis le 3 octobre 2026; l ' inclusion dans le catalogue KEV de la CISA avec la date finale de la médiation pour les organismes fédéraux; les observations des tests d ' exploitation effectués par Previdian et les activités post-exploitation documentées par Volexity. Ce qui est estimé ou encore incertain: l'ampleur totale de l'engagement dans les installations réelles (combien d'applications ont été complètement compromises en dehors des pots de miel), l'identité finale ou l'attribution opérationnelle de tous les attaquants et la question de savoir s'il y a des campagnes d'exfiltration massives déjà en cours au-delà des cas publiés.

Mesures spécifiques et prioritaires à prendre aujourd'hui par les responsables techniques : d'abord, appliquer des correctifs. Si votre déploiement peut être mis à jour, suivez immédiatement le guide de compatibilité et de migration d'Ivanti ( https: / / www.ivanti.com / support / conseils de sécurité). CISA offre des informations supplémentaires dans son catalogue KEV ( https: / / www.cisa.gov / knowledge-exploited-vulnerabilities-catalog) qui détaille les délais et les exigences du secteur public.

Si vous ne pouvez pas vous garer immédiatement ou avoir besoin de temps pour une intervention contrôlée, appliquer des mesures compensatoires : il limite l'accès à l'application à des adresses IP connues au moyen de listes de contrôle d'accès ou de pare-feu périmètre, déplace l'administration hors de l'Internet public et limite les ports par des VPN de gestion séparés, implémente l'authentification multifactorielle pour l'accès à l'administration, et déploie les règles IDS / IPS et WAF qui détectent et bloquent les requêtes avec des en-têtes anomales (par exemple X-DSCGI-PATH) ou des tentatives de téléchargement de fichiers inattendus. Prioriser le journal d'accès, les enregistrements Web et tout téléchargement de fichiers qui ne correspond pas à une utilisation légitime.

Si vous soupçonnez un engagement, la CISA et les équipes qui ont enquêté recommandent des étapes spécifiques de médecine légale et de médiation : créer une copie de la configuration actuelle de l'appareil, effectuer une réinitialisation et une mise à jour de l'usine à la version découpée, ou dans des environnements virtuels reconstruire l'instance ; restaurer la configuration de la copie seulement après avoir confirmé qu'elle ne contient pas d'objets malveillants ; réinitialiser tous les mots de passe (local, administratif, domaine) et révoquer / rééditer les certificats et les clés ; et effectuer des analyses de mémoire et de réseau pour identifier les signes d'exécution illicite. La volatilité a documenté les techniques de nettoyage des artefacts par les attaquants, de sorte que le confinement doit être supposé du point de vue que l'adversaire tente de cacher.

Des détections pratiques que les équipes de sécurité peuvent implémenter : rechercher le journal d'entrée avec l'en-tête X-DSCGI-PATH, examiner les charges qui ont des extensions ZIP mais contiennent des scripts Perl ou d'autres interprètes, détecter des processus Perl ou Python inattendus dans les applications, examiner les connexions sortantes à des hôtes inconnus de l'application, et analyser le trafic LDAP et Kerberos à la recherche d'anomalies et d'extraction de métadonnées. Pour obtenir des conseils techniques supplémentaires sur les indicateurs et les tactiques observés, voir l'analyse publique des entreprises d'intervention en cas d'incident et les rapports de recherche sur des blogs spécialisés tels que Volexity ( https: / / www.volexity.com / blog /).

En bref, la vulnérabilité dans Ivanti Connect Secure est une menace active qui a déjà été utilisée pour valider l'exécution à distance et, dans les cas documentés, pour voler des identifiants et effectuer des actions avancées après exploitation. La priorité immédiate est de corriger ou d'appliquer des mesures restrictives d'atténuation et d'effectuer des analyses médico-légales si l'équipement a été exposé.. Les opérateurs d'infrastructures critiques et les administrateurs VPN devraient considérer ces mesures comme urgentes : le temps de réaction peut maintenant faire la différence entre contenir un test de concept et répondre à une intrusion avec persistance et exfiltration de données.