Faille Ivanti Connect Secure CVE-2026-104935 : que faire

Le 13 octobre 2026, Ivanti a corrigé CVE-2026-104935, une faille de sa passerelle VPN Ivanti Connect Secure déjà exploitée par des attaquants. Si votre entreprise utilise cet équipement pour l'accès à distance, faites vérifier sa version et installer la version corrigée. Faites ensuite rechercher une intrusion antérieure : la mise à jour n'efface pas ce qui a pu se passer avant.

Ce qui s'est passé : une faille zero-day exploitée depuis début octobre

Ivanti Connect Secure est une passerelle VPN : l'équipement qui permet à vos salariés de se connecter au réseau de l'entreprise depuis l'extérieur. Pour remplir ce rôle, il est exposé en permanence sur Internet.

La faille CVE-2026-104935 permet à un attaquant distant, sans aucun compte, de contourner l'authentification et d'exécuter des commandes sur l'équipement. L'agence de cybersécurité de Singapour lui attribue un score CVSS de 8,6 sur 10, soit une gravité élevée. Le CVSS (Common Vulnerability Scoring System) est l'échelle internationale de notation de la gravité des vulnérabilités.

C'est une faille dite zero-day, c'est-à-dire exploitée avant que l'éditeur ne publie de correctif. La société Volexity l'a découverte en enquêtant sur un incident chez un client : selon son rapport du 13 octobre 2026, l'attaquant, qu'elle nomme UTA0576, l'exploitait depuis le 3 octobre 2026. L'équipement de ce client était pourtant à jour, en version 22.8R2.4.

Ivanti indique avoir connaissance d'une exploitation « limitée ». Le CERT-FR, le centre gouvernemental de veille et de réponse aux incidents rattaché à l'ANSSI (Agence nationale de la sécurité des systèmes d'information), a publié l'alerte CERTFR-2026-ALE-013 le 14 octobre 2026.

Volexity estime, avec une confiance faible, que l'attaquant poursuit des buts criminels plutôt que l'espionnage.

Mon Ivanti Connect Secure est-il concerné, et quelle version installer ?

Selon l'alerte du CERT-FR, les versions vulnérables d'Ivanti Connect Secure sont :

• branche 22.8Rx : toute version antérieure à 22.8R2.5 ;
• branche 25.1.1.x : toute version antérieure à 25.1.1.2 ;
• branche 25.1.3.x : toute version antérieure à 25.1.3.1.

L'agence de Singapour retient les mêmes seuils pour les branches 22.8 et 25.1.1, mais cite la branche 25.1.2.x (25.1.2.2 et antérieures) et non la 25.1.3.x. En cas de doute, le bulletin d'Ivanti fait foi.

Selon SecurityWeek, les versions correctives sont 22.8R2.5, 25.1.1.2, 25.1.3.0 et 25.1.3.1. Le CERT-FR range toutefois les 25.1.3.x antérieures à 25.1.3.1 parmi les versions vulnérables : dans cette branche, visez 25.1.3.1. Si votre passerelle est en 25.1.2.x, branche que cite l'agence de Singapour, aucune source lue n'indique de version corrective propre : votre prestataire doit vérifier dans le bulletin d'Ivanti vers quelle version migrer.

La troisième faille de la chaîne, une élévation de privilèges qui donne les droits root (les pleins pouvoirs sur l'équipement), n'était pas corrigée au 13 octobre 2026, et Ivanti prévoyait de la corriger dans les semaines suivantes.

Ce qu'il faut faire aujourd'hui

1. Demandez à votre prestataire, par écrit, la version exacte de votre passerelle et la date de sa dernière mise à jour.
2. Arbitrez une coupure temporaire de l'accès à distance : le CERT-FR place en tête de ses recommandations, classées par ordre de priorité, l'isolement total de la machine concernée, d'Internet comme du réseau interne.
3. Faites conserver les preuves avant la mise à jour : une mise à jour redémarre l'équipement et efface sa mémoire.
4. Faites installer la version corrigée sans attendre la prochaine fenêtre de maintenance. Ivanti recommande de le faire dès que possible.
5. Faites suivre la publication du correctif de la troisième faille et installez-le dès sa sortie.

Le correctif ne suffit pas : vérifier une compromission antérieure

Chez le client de Volexity, l'attaquant n'a déposé ni porte dérobée ni webshell, ce petit programme caché sur un serveur web qui permet de le piloter à distance. Il faisait passer ses commandes dans les requêtes de l'exploit lui-même, et il a purgé les journaux de l'équipement. Chercher un webshell ne suffit donc pas.

L'outil de contrôle d'intégrité d'Ivanti (Integrity Checker Tool, ou ICT) ne détecte pas non plus cette chaîne, car elle modifie le code uniquement en mémoire. Volexity en conclut qu'une analyse forensique, c'est-à-dire une investigation technique de la mémoire et du disque, est nécessaire pour établir une exploitation. Ivanti recommande malgré tout de lancer l'ICT régulièrement. Le CERT-FR précise que la version de l'outil lancée hors de l'équipement, recommandée par Ivanti, exige un accès physique et peut interrompre le service.

Pour conserver les preuves, le CERT-FR recommande de faire un instantané de la mémoire et du disque si l'appliance est virtuelle, d'éviter si possible d'éteindre la machine et de mettre les journaux collectés sous séquestre. Il demande ensuite d'analyser les serveurs à l'aide des indicateurs de compromission publiés par Volexity.

Concrètement, si votre passerelle a fonctionné dans une version vulnérable (une exploitation a été observée dès le 3 octobre), une levée de doute par un prestataire spécialisé en réponse à incident se justifie.

Si vous trouvez des traces : réinitialiser, changer les secrets, déclarer

Le danger tient moins à l'équipement qu'à ce qu'il contient. Chez le client de Volexity, l'attaquant a extrait les identifiants de domaine utilisés pour LDAP, le protocole qui relie le VPN à l'annuaire Active Directory, la base des comptes et des droits de l'entreprise. Il y a ensuite cherché les mots de passe LAPS (Local Administrator Password Solution) des administrateurs locaux des postes et les clés de récupération BitLocker, qui déverrouillent les disques chiffrés.

Le CERT-FR dit avoir connaissance de mouvements latéraux, c'est-à-dire de progressions de l'attaquant vers le reste du réseau, réalisés avec les secrets LDAP et Active Directory dérobés sur l'équipement. En cas de compromission, il demande notamment :

• une réinitialisation d'usine (Factory Reset), puis la mise à jour du micrologiciel si le correctif est disponible, en prévenant que certaines menaces peuvent survivre à cette réinitialisation ;
• la réinitialisation des secrets LDAP et Active Directory, du mot de passe d'administration, des comptes locaux de la passerelle et des clés d'API ;
• la révocation et la réémission des certificats, ainsi que la révocation des tickets Kerberos, jetons d'authentification de l'annuaire.

Ces opérations touchent le cœur de votre annuaire et peuvent bloquer des services si elles sont mal ordonnées. Elles se mènent avec un prestataire, en suivant l'alerte du CERT-FR point par point.

Qui prévenir

Le CERT-FR demande qu'on lui signale l'événement, en mettant en copie les éventuels CSIRT (Computer Security Incident Response Team) métier, ces équipes de réponse propres à un secteur. Dans ses bons réflexes en cas d'intrusion, il conseille aussi de prévenir l'assureur le plus tôt possible, pour déclencher la couverture et identifier les prestataires qu'il peut mandater. Relisez à cette occasion les conditions de votre contrat de cyber-assurance.

Enfin, depuis mai 2018, le règlement général sur la protection des données (RGPD) soumet tous les organismes à une obligation de notification à la Commission nationale de l'informatique et des libertés (CNIL) des violations de données personnelles. Si des données de salariés ou de clients ont pu être atteintes, votre délégué à la protection des données, si vous en avez désigné un, ou votre conseil en précise les modalités.

Pour votre équipe technique

Références : CVE-2026-104935 ; alerte CERTFR-2026-ALE-013 et avis CERTFR-2026-AVI-1311 ; bulletin Ivanti « Security Advisory Ivanti Connect Secure (CVE-2026-104935) » du 13/10/2026.

Chaîne décrite par Volexity : contournement d'authentification dans welcome.cgi (routage vers des CGI protégés), écriture de fichier dans wu.cgi, élévation de privilèges vers root via le broker dsinvoked et les données DSCache, non corrigée au 13/10/2026.

Indicateurs à rechercher, selon Volexity :

• volume anormal de requêtes vers /dana-na/auth/url_default/welcome.cgi ;
• en-tête X-DSCGI-PATH pointant vers /home/webserver/htdocs/dana/fb/smb/wu.cgi ou vers /home/runtime/tmp/ suivi d'une empreinte MD5, et tout écart entre le chemin de l'URL et cet en-tête ;
• traces d'activité dans /tmp/ ;
• purge de /home/runtime/dlogs/debuglog et de /var/log/audit/audit.log ;
• binaire tcpdump renommé /data/.icscap/dsstatmond ;
• hôte utilisé par l'attaquant : 108.165.147[.]64.

Sur des journaux exportés (reverse proxy, pare-feu applicatif, sonde réseau) qui enregistrent la valeur de l'en-tête X-DSCGI-PATH, quel que soit leur format :

grep -c "/dana-na/auth/url_default/welcome.cgi" acces_http.log
grep -iE "wu\.cgi|/home/runtime/tmp/" acces_http.log
grep -F "108.165.147.64" journaux_pare-feu.log

Un résultat positif, ou un trou inexpliqué dans les journaux de l'équipement, justifie une collecte mémoire et disque avant toute mise à jour, puis une analyse forensique. L'ICT ne détecte pas cette chaîne : un résultat propre ne vaut pas levée de doute.

Faut-il garder un VPN exposé sur Internet ?

Une passerelle VPN est visible de tout Internet, et l'équipement compromis chez le client de Volexity était à jour : aucune discipline de mise à jour n'aurait suffi tant que la faille n'avait pas de correctif.

Il ne s'agit pas de remplacer l'équipement dans l'urgence, mais de poser la question à froid, une fois l'incident clos. Voici ce que vous pouvez demander à votre prestataire :

1. Quels secrets notre VPN détient-il ? Un compte de service LDAP aux droits limités au strict nécessaire réduit ce qu'un attaquant peut en tirer.
2. Où sont conservés les journaux ? Exportés vers un serveur central, ils survivent à une purge sur l'équipement.
3. En combien de temps appliquons-nous un correctif urgent sur un équipement exposé, et qui lit les bulletins de l'éditeur ?
4. Que voit-on de l'extérieur ? Un inventaire de votre surface d'attaque externe montre quels portails d'accès et d'administration sont visibles.
5. Peut-on réduire l'exposition ? Une approche Zero Trust, qui accorde l'accès application par application après vérification de l'utilisateur et du poste, est une piste à étudier.

L'authentification multifacteur (MFA) ne bloque pas un contournement d'authentification comme celui-ci. Elle reste utile : elle complique la réutilisation des mots de passe volés sur vos autres services.

Questions fréquentes

Ivanti Policy Secure et les autres produits Ivanti sont-ils concernés ?

Les alertes du CERT-FR et de l'agence de Singapour consultées pour cet article ne visent qu'Ivanti Connect Secure. Le bulletin de l'éditeur n'a pas pu être consulté : demandez à votre prestataire de vérifier dans ce bulletin si vos autres produits Ivanti y figurent.

Mon VPN n'est pas un Ivanti : suis-je concerné ?

Pas par CVE-2026-104935, qui touche des produits Ivanti. Le raisonnement vaut toutefois pour tout équipement d'accès à distance exposé sur Internet : connaître sa version, savoir qui lit les bulletins de l'éditeur et où sont conservés ses journaux.

Faut-il prévenir les salariés ?

Oui, si l'accès à distance est coupé ou si les mots de passe de l'annuaire sont réinitialisés : ils devront se reconnecter et changer leurs identifiants. Annoncez-le par un canal interne connu et rappelez que le service informatique ne demande jamais de mot de passe, car des fraudeurs peuvent profiter d'un incident pour envoyer de faux messages de « mise à jour du VPN ».

Sources

• Vulnérabilité dans Ivanti Connect Secure (ICS) – Bulletin d'alerte CERTFR-2026-ALE-013 — CERT-FR (ANSSI), 14/10/2026
• Active Exploitation of Vulnerability in Ivanti Connect Secure (AL-2026-147) — Cyber Security Agency of Singapore, 20/10/2026
• Ivanti Zero-Day Chain Gave Attackers Root Access to Fully Patched VPN — SecurityWeek, 13/10/2026
• A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days — Volexity, 13/10/2026
• October 2026 Security Update — Ivanti, 13/10/2026
• Les bons réflexes en cas d’intrusion sur un système d’information — CERT-FR (ANSSI)
• Notifications d’incidents de sécurité aux autorités de régulation : comment s’organiser et à qui s’adresser ? — CNIL, 18/05/2020

Comment Sedona peut aider

Ce qu'une organisation expose sur Internet est la première chose qu'un attaquant peut examiner : services ouverts, logiciels en retard de mise à jour, messagerie mal configurée, secrets publiés par erreur. Sedona Radar dresse cet état des lieux sur votre domaine, sans rien installer, et classe ce qu'il trouve par gravité, avec un plan d'action.

Parmi ce qu'il examine :

• Vos portes ouvertes : les services qui répondent depuis Internet, les logiciels qui les font tourner et leurs failles connues.
• Les attaques web connues : des tests de failles répertoriées, joués sur vos pages, sans exploitation aboutie.

Le plan Discovery, gratuit, donne un premier Scan de Contrôle : score de risque, vos 3 vulnérabilités les plus graves, le décompte par sévérité et vos scores sur les 6 référentiels. Radar ne voit que ce qui est exposé sur Internet, pas l'intérieur de votre réseau ; il évalue votre exposition, il ne certifie rien. Pour en parler, nous contacter.

Article publié le 21/10/2026. Une erreur, une source à mettre à jour ? Nous contacter : nous corrigeons et datons la correction.