Faille critique dans le client VPN IXON : exécution de commandes avec les privilèges root ou SYSTEM

Une vulnérabilité dans le client VPN d’IXON peut permettre l’exécution de commandes avec les privilèges maximaux sur l’ordinateur ciblé. La faille, identifiée sous le nom de CVE-2026-75925, concerne toutes les versions d’IXON VPN Client antérieures à la version 1.4.7.

La CISA a classé cette vulnérabilité comme critique. Elle obtient un score de 9,6 sur 10 selon CVSS 3.1 et de 9,4 selon CVSS 4.0. L’attaque exploite une combinaison dangereuse : des configurations acceptées sans vérification de l’identité du demandeur et des données écrites sans neutralisation correcte des séquences de fin de ligne.

Le résultat peut être l’insertion de nouvelles directives dans un fichier ensuite traité par un sous-processus privilégié. Les commandes injectées sont alors exécutées avec les privilèges root ou SYSTEM, selon l’environnement d’exploitation.

Toutes les versions antérieures à la 1.4.7 sont vulnérables

Le produit concerné est IXON VPN Client, utilisé pour l’accès à distance à des systèmes et infrastructures distribués. IXON est basée aux Pays-Bas, mais le logiciel est distribué dans le monde entier.

Le correctif est disponible dans la version 1.4.7. Par conséquent, toutes les versions dont le numéro est inférieur sont considérées comme vulnérables :

• Produit : IXON VPN Client
• Versions vulnérables : toutes les versions antérieures à la 1.4.7
• Version corrigée : 1.4.7 ou ultérieure
• Identifiant : CVE-2026-75925
• Classification principale : CWE-93, neutralisation incorrecte des séquences CRLF
• Problème d’authentification : CWE-306, absence d’authentification pour une fonction critique

La vulnérabilité a été découverte par Luuk van Rheden, qui travaille chez IXON. Le signalement à la CISA a été effectué par Stan van Duijnhoven, également membre de l’entreprise.

L’avis initial a été publié le 5 août 2026. La CISA l’a republié dans une deuxième révision le 3 septembre 2026.

Comment l’injection CRLF peut mener à l’exécution de code privilégié

Les séquences CRLF, généralement notées \r\n, délimitent les lignes dans différents formats textuels. Lorsqu’une application insère dans un fichier des valeurs contrôlables sans filtrer ces caractères, un attaquant peut interrompre la ligne prévue et en ajouter d’autres.

Dans le cas d’IXON VPN Client, la cible est le mécanisme local chargé de gérer la configuration. Les valeurs reçues par le service sont écrites dans un fichier, ensuite lu par un sous-processus doté de privilèges élevés.

L’application ne neutralise pas correctement les caractères de fin de ligne. Une valeur apparemment destinée à un seul champ peut donc être transformée en plusieurs lignes, notamment en directives que le programme n’aurait pas dû accepter.

La faille ne repose toutefois pas uniquement sur la mauvaise gestion des séquences CRLF. L’interface de configuration autorise les modifications sans authentifier le demandeur ni vérifier son origine. Cette seconde faiblesse réduit encore les obstacles auxquels l’attaquant est confronté.

La chaîne d’attaque peut être résumée comme suit :

1. l’attaquant prépare une valeur de configuration contenant des séquences de fin de ligne ;
2. le service accepte la modification sans authentification adéquate ;
3. la valeur est écrite dans le fichier de configuration ;
4. les nouvelles lignes deviennent des directives autonomes ;
5. un sous-processus privilégié traite le fichier ;
6. les commandes injectées sont exécutées avec les privilèges root ou SYSTEM.

Le chemin du fichier concerné, les noms exacts des directives exploitables et une démonstration publique de l’attaque n’ont pas été communiqués.

Une attaque peu complexe, mais nécessitant une interaction de l’utilisateur

Le vecteur CVSS 3.1 attribué à la vulnérabilité est le suivant :

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Cette évaluation indique que l’attaque peut être menée via le réseau, présente une faible complexité et ne nécessite aucun privilège préalable. Une interaction de l’utilisateur est toutefois requise. Le vecteur CVSS 4.0, qui attribue un score de 9,4, décrit cette même condition comme une interaction passive :

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Les modalités précises de l’interaction requise n’ont pas été détaillées. Il n’est donc pas possible de déterminer, sur la base des informations publiées, quelle action la victime doit effectuer au cours d’une tentative de compromission.

L’impact potentiel reste élevé sur les trois paramètres principaux : confidentialité, intégrité et disponibilité. L’exécution avec des privilèges élevés peut permettre de lire ou de modifier des données, d’installer des composants supplémentaires et de perturber le fonctionnement de l’ordinateur.

Le changement de périmètre indiqué par le vecteur CVSS signale également de possibles conséquences sur des composants situés au-delà du périmètre de sécurité initialement compromis.

La configuration malveillante persiste après les redémarrages

L’un des aspects les plus préoccupants de CVE-2026-75925 concerne la persistance. La configuration injectée est enregistrée sur le disque et peut rester active après le redémarrage du client VPN ou de l’ensemble du système d’exploitation.

Parallèlement, la connexion VPN continue de fonctionner normalement. L’utilisateur peut donc ne constater ni interruption, ni erreur manifeste, ni changement dans son expérience d’utilisation.

Cette combinaison rend la compromission plus difficile à détecter : le composant légitime reste opérationnel tandis que les directives ajoutées continuent d’être traitées par le processus privilégié.

Aucun indicateur de compromission spécifique, tel qu’un nom de fichier, un hachage, une adresse IP ou une chaîne à rechercher, n’a été publié. Les administrateurs peuvent néanmoins vérifier la présence de modifications inattendues dans les configurations du client en les comparant avec des copies fiables et avec les systèmes de gestion centralisée.

Il est également recommandé d’examiner les événements liés au lancement de processus privilégiés, en particulier lorsque les programmes exécutés ne correspondent pas au fonctionnement habituel du VPN. En l’absence de chemins et de signatures officiels, ces contrôles doivent être adaptés à l’environnement local.

Aucun exploitation publique connue et aucune échéance KEV indiquée

Au moment de la publication de l’avis, la CISA n’avait reçu aucun signalement d’exploitation publique connue visant spécifiquement CVE-2026-75925. Cette information distingue la vulnérabilité critique d’un incident déjà documenté sur le terrain, mais ne réduit pas la nécessité d’effectuer la mise à jour.

L’inclusion de la faille dans le catalogue Known Exploited Vulnerabilities, ou KEV, de la CISA n’a pas été indiquée. Aucune date d’ajout ni échéance fédérale de correction ne semble donc associée à cette vulnérabilité.

Cette distinction est importante sur le plan opérationnel : le catalogue KEV recense les failles pour lesquelles des preuves d’exploitation réelle existent. Dans le cas présent, les informations disponibles décrivent une vulnérabilité à fort impact et facilement exploitable, mais aucune campagne confirmée publiquement.

Les secteurs potentiellement concernés comprennent la fabrication critique, l’énergie, les technologies de l’information, l’eau et les eaux usées, ainsi que les infrastructures commerciales. Dans les environnements industriels, la compromission du terminal utilisé pour l’accès à distance peut également servir de point de départ vers des systèmes connectés.

Mise à jour immédiate et contrôle des configurations persistantes

La mesure prioritaire consiste à mettre à jour IXON VPN Client vers la version 1.4.7 ou une version ultérieure. L’installation du correctif doit être vérifiée au moyen d’un inventaire centralisé, sans se fier uniquement à la mise à jour déclarée par l’utilisateur.

Après la mise à niveau, il est recommandé de contrôler les configurations déjà présentes sur le disque. La correction du logiciel ne garantit pas nécessairement la suppression automatique des directives malveillantes éventuellement insérées avant la mise à jour.

Les organisations devraient également :

• recenser tous les terminaux sur lesquels IXON VPN Client est installé ;
• isoler ou mettre immédiatement à jour les versions antérieures à la 1.4.7 ;
• vérifier les configurations, la persistance et les processus lancés avec des privilèges élevés ;
• éviter l’exposition directe des systèmes de contrôle à Internet ;
• séparer les réseaux industriels des réseaux d’entreprise au moyen de pare-feu et de mesures de segmentation ;
• réévaluer les méthodes d’accès à distance et les privilèges accordés aux terminaux VPN ;
• appliquer une défense en profondeur aux actifs ICS ;
• déclencher les procédures internes de réponse à incident si des modifications non autorisées sont détectées.

La CISA renvoie également au document ICS-TIP-12-146-01B — Targeted Cyber Intrusion Detection and Mitigation Strategies, consacré à la détection et à l’atténuation des intrusions ciblées. Comme l’attaque nécessite une interaction de l’utilisateur, les protections contre le phishing et l’ingénierie sociale restent également pertinentes : les liens et pièces jointes non sollicités doivent être considérés comme des vecteurs d’accès initiaux potentiels.