Le 13 octobre 2026, Ivanti a averti ses clients que des attaquants exploitent une chaîne de trois vulnérabilités visant les appliances VPN Connect Secure. Cette chaîne peut permettre l'exécution de code au niveau root sans authentification, tandis que son composant final d'élévation de privilèges reste non corrigé.
Ivanti a indiqué que l'exploitation touchait un « nombre limité de clients » au moment de la divulgation, sans fournir de chiffre. Volexity a découvert cette activité en enquêtant sur une intrusion chez un client. L'entreprise suit cet acteur de la menace, jusqu'alors non documenté, sous le nom de UTA0576.
Le 13 octobre 2026, la CISA a ajouté la CVE-2026-104935 à son catalogue des vulnérabilités connues et exploitées (KEV), ce qui confirme que la faille est utilisée dans des attaques et ne reste pas un risque théorique.
Trois failles transforment l'accès à distance en exécution root
L'attaque combine un contournement d'authentification, une exécution de code à distance et une faille d'élévation de privilèges. Selon les rapports sur l'enquête de Volexity, le contournement d'authentification et l'exécution de code sont suivis ensemble sous la référence CVE-2026-104935. Ils permettent à un attaquant distant, sans identifiants ni interaction de l'utilisateur, d'exécuter des commandes sous l'identité de l'utilisateur cgi-server.
Le troisième zero-day élève ensuite ces privilèges au niveau root. Ivanti a corrigé les deux premiers composants, mais a indiqué que le correctif de l'élévation de privilèges arriverait « dans une future version, dans les prochaines semaines ».
La CVE-2026-104935 a un score CVSS v3.1 de 8,6, classé comme élevé, avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L. Elle est classée CWE-290, contournement d'authentification par usurpation. Ce chemin accessible par le réseau et de faible complexité ne nécessite ni privilèges préalables ni action de l'utilisateur.
Ce score de gravité mesure des caractéristiques techniques. La présence dans le catalogue KEV et la divulgation d'Ivanti fournissent des éléments distincts indiquant que l'exploitation est active.
Versions concernées et une limite de version contestée
La description NVD indique que Connect Secure antérieur à la version 25.1.3.0 est vulnérable, tout en excluant explicitement ICS 22.7R2.14 et les versions antérieures. Selon ce qui est rapporté, l'enregistrement CVE indique aussi que les versions suivantes ne sont pas affectées :
- 22.8R2.5
- 25.1.3.0
- 25.1.3.1
SecurityWeek rapporte qu'Ivanti a identifié les versions corrigées suivantes :
- 22.8R2.5
- 25.1.1.2
- 25.1.3.0
- 25.1.3.1
Le statut de la version 25.1.1.2 n'est pas clair d'après les données disponibles : elle figure dans la liste des versions corrigées publiée par Ivanti, mais se situe sous le seuil NVD de 25.1.3.0 et n'apparaît pas dans la liste des versions non affectées de l'enregistrement CVE. Les administrateurs ne doivent pas en déduire son statut à partir de l'une ou l'autre plage.
L'appliance compromise par Volexity fonctionnait en version 22.8R2.4 et était décrite comme entièrement à jour à ce moment-là. Les rapports n'expliquent pas comment cette description se rapporte à la version 22.8R2.5, citée ensuite comme correctif.
Les attaquants ont visé les identifiants et les données d'annuaire
Volexity a relevé des traces d'exploitation à partir du 3 octobre. Lors de l'intrusion qu'elle a analysée, les attaquants ont dérobé les identifiants stockés sur l'appliance, dont les identifiants de domaine LDAP, et ont supprimé une quantité limitée de métadonnées Active Directory.
Les actions menées après l'exploitation comprennent :
- La recherche dans Active Directory des mots de passe LAPS et des clés de récupération BitLocker, à l'aide d'un outil personnalisé.
- La pulvérisation de mots de passe sur plusieurs comptes.
- Le test d'identifiants via un utilitaire Kerberos personnalisé.
- La tentative de récupération d'identifiants à partir du trafic réseau capturé.
- L'analyse du réseau interne.
- La collecte des données de configuration de l'appliance.
- L'analyse des journaux d'authentification pour repérer des noms d'utilisateur valides.
- La falsification des journaux.
Selon les informations disponibles, les attaquants auraient relancé l'intégralité de la chaîne d'exploitation pour chaque commande. Volexity n'a trouvé ni porte dérobée persistante ni web shell sur l'appliance, mais estime avec un niveau de confiance élevé que l'activité préparait un mouvement latéral et une compromission plus large du réseau. L'opération a été interrompue avant que son objectif final ne soit clair.
Volexity estime, avec une faible confiance, que UTA0576 est motivé par le gain financier plutôt que par l'espionnage. Elle estime séparément, avec une confiance moyenne, que l'acteur utilise de grands modèles de langage pendant le développement de l'exploit et après l'exploitation.
Les contrôles d'intégrité peuvent ne pas révéler l'intrusion
L'exploit modifie le code des bibliothèques en mémoire et restaure les données de configuration après avoir effectué ses changements. Ce comportement peut empêcher l'outil Integrity Checker d'Ivanti de détecter la chaîne, alors même qu'Ivanti recommande aux clients de l'exécuter régulièrement.
Les indicateurs relevés lors de l'intrusion analysée par Volexity comprennent :
- Des requêtes répétées vers
/dana-na/auth/url_default/welcome.cgi - Un en-tête
X-DSCGI-PATHdont la valeur ne correspond pas au chemin de l'URL demandée - Le répertoire
/data/.icscap/ - L'adresse IP
108[.]165[.]147[.]64
Ces indicateurs décrivent une seule intrusion analysée et ne doivent pas être considérés comme une règle de détection exhaustive. Volexity précise que la confirmation d'une compromission nécessite une investigation forensique, incluant l'analyse du réseau et de la mémoire.
Mettre à jour rapidement et rechercher un accès antérieur
Ivanti conseille aux clients concernés de passer à une version corrigée et d'exécuter régulièrement son Integrity Checker Tool. Comme la chaîne observée peut échapper à cet outil, les appliances exposées pendant la fenêtre d'exploitation méritent aussi un tri forensique, et pas seulement un résultat de contrôle d'intégrité négatif.
La mise à jour corrige les composants de contournement d'authentification et d'exécution de code à distance. La faille distincte d'élévation de privilèges reste en attente d'un correctif du fournisseur, même si les informations disponibles ne permettent pas d'établir si elle reste exploitable une fois les deux premières failles corrigées.
La CISA exige que les agences fédérales américaines concernées corrigent la CVE-2026-104935 d'ici le 16 octobre 2026. L'action requise consiste à appliquer les mesures d'atténuation du fournisseur tout en respectant BOD 26-04 Prioritizing Security Updates Based on Risk et les Forensics Triage Requirements de la CISA. Pour les services cloud applicables, les agences doivent suivre BOD 26-04 ; si aucune mesure d'atténuation n'est disponible, la CISA leur demande d'arrêter d'utiliser le produit.
Cette échéance concerne les agences fédérales couvertes, et non tous les exploitants de Connect Secure. Pour les autres organisations, l'exploitation active, le point d'entrée distant sans authentification et l'accès potentiel aux identifiants de domaine font de la mise à jour rapide et de l'évaluation de compromission les priorités concrètes.
