L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté deux vulnérabilités d'Ivanti Connect Secure à son catalogue des vulnérabilités exploitées connues le 30 octobre 2026, en citant des preuves d'exploitation active. Ces failles font partie d'une chaîne d'attaque en trois vulnérabilités qui, selon les chercheurs, permet aux attaquants d'exécuter du code avec un contrôle administratif complet sans s'être authentifiés au préalable. Des correctifs sont désormais disponibles.
Les organisations qui utilisent Ivanti Connect Secure (ICS) devraient donner la priorité à ces mises à jour. Les attaques ont consisté à extraire des identifiants et à rechercher des mots de passe administrateur ainsi que des clés de récupération BitLocker, qui permettent de déverrouiller des disques chiffrés, selon The Hacker News, qui s'appuie sur les conclusions de Volexity.
Comment les trois failles fonctionnent ensemble
L'alerte de la CISA identifie les deux vulnérabilités nouvellement répertoriées comme suit :
- CVE-2026-111357, avec un score de gravité CVSS de 8,8 : absence d'authentification pour une fonction critique, permettant à un attaquant local authentifié d'élever ses privilèges.
- CVE-2026-118527, avec un score CVSS de 4,3 : identifiants ou numéros prévisibles, permettant à un attaquant distant authentifié de téléverser sur un emplacement connu du disque des fichiers contenant un contenu contrôlé par l'attaquant.
Ces exigences d'authentification individuelles comptent, mais la chaîne d'attaque signalée combine ces failles avec CVE-2026-104935, un contournement d'authentification au score CVSS de 8,6. La CISA a ajouté cette troisième faille à son catalogue le 13 octobre 2026.
Comme le décrit le rapport de The Hacker News, Volexity a documenté pour la première fois cette chaîne au début du mois d'octobre et en a attribué l'utilisation à un acteur de la menace jusqu'alors non documenté, qu'elle désigne sous le nom de UTA0576. Les chercheurs ont indiqué que la combinaison du contournement d'authentification, de l'exécution de code à distance (c'est-à-dire l'exécution du code d'un attaquant sur un autre système) et de l'élévation de privilèges permettait une exécution non authentifiée au niveau root, c'est-à-dire le niveau de contrôle le plus élevé sur le système.
Volexity a observé UTA0576 en train d'extraire des identifiants et des métadonnées Active Directory limitées, c'est-à-dire des informations provenant du service d'annuaire que les organisations utilisent pour gérer les utilisateurs et les ordinateurs. L'acteur a également recueilli des informations sur les machines compromises et recherché des mots de passe administrateur ainsi que des clés de récupération BitLocker, plutôt que de suivre le schéma plus courant consistant à déployer des web shells ou des logiciels malveillants.
Correctifs disponibles et délais fédéraux
The Hacker News indique que des correctifs pour les deux failles nouvellement répertoriées sont disponibles dans les versions suivantes d'ICS :
- 25.1.1.3, qui corrige les versions concernées 25.1.1.2 et antérieures de cette branche.
- 22.8R2.6, qui corrige les versions concernées 22.8R2.5 et antérieures de cette branche.
Selon le rapport, la dernière version corrige toutes les vulnérabilités enchaînées dans les attaques observées.
Ivanti a indiqué que son correctif pour CVE-2026-104935 était déjà en cours de contrôle qualité pour les versions prises en charge lorsque l'exploitation a été découverte. Lorsque la faille locale d'élévation de privilèges est apparue, l'entreprise a choisi de publier le correctif du contournement d'authentification sans attendre, afin de fermer la principale voie d'exploitation. Elle travaillait encore sur le correctif d'élévation de privilèges au moment où les détails de l'attaque ont été rendus publics.
Ivanti a également indiqué avoir découvert une partie de la vulnérabilité grâce à son programme de sécurité produit et l'avoir corrigée dans la version de juillet 25.1.3.0. L'entreprise a précisé qu'elle travaillait à déployer ce correctif sur les autres versions prises en charge lorsque l'exploitation a eu lieu.
L'alerte de la CISA classe les ajouts sous la directive opérationnelle contraignante 26-04, qui oblige les agences civiles de l'exécutif fédéral à donner la priorité aux vulnérabilités cataloguées à haut risque sur les actifs exposés publiquement, lorsque l'exploitation permet un contrôle total. La directive définit également des attentes en matière de vérification de la compromission éventuelle des systèmes avant l'application des correctifs.
The Hacker News indique que les délais de remédiation pour les agences civiles fédérales sont fixés au 2 novembre 2026 pour CVE-2026-111357 et au 13 novembre 2026 pour CVE-2026-118527. Ces exigences s'appliquent aux agences fédérales visées par la directive. La CISA encourage toutes les organisations à donner la priorité à la remédiation des failles cataloguées ; les administrateurs d'ICS doivent appliquer la version corrigée correspondant à la branche utilisée par leur déploiement.
