Êtes-vous concerné ?
- Concerné : quiconque utilise Ivanti Connect Secure comme VPN ou passerelle d'accès à distance.
- Pas concerné si : votre VPN n'est pas Ivanti Connect Secure.
Que faire
- Installez dès aujourd'hui la version corrigée de votre branche indiquée dans l'avis de sécurité d'Ivanti. D'après la fiche CVE, 22.8R2.5 n'a corrigé que le contournement de l'authentification ; selon LavX, 22.8R2.6 corrige les deux autres failles. Sur la branche plus récente, les numéros se contredisent : LavX cite 25.1.1.3, la fiche CVE indique les versions supérieures 25.1.3.0 et 25.1.3.1 comme non affectées par le contournement. Ivanti a corrigé l'élévation de privilèges le 29 octobre.
- Pas encore de correctif pour votre version ? La consigne de la CISA est de cesser d'utiliser le produit jusqu'à ce qu'il y en ait un.
- Ne vous fiez pas aux journaux de l'équipement : selon Volexity, les attaquants ont effacé des traces des journaux de débogage d'Ivanti et des journaux d'audit Linux. Surveillez les volumes importants de requêtes vers /dana-na/auth/url_default/welcome.cgi et cherchez dans l'Active Directory, depuis fin septembre, tout compte de service ayant lu des mots de passe LAPS ou des clés de récupération BitLocker, ainsi que des traces de Kerberoasting. À notre avis, commencez par le compte qu'utilise le VPN.
- Vous avez trouvé des signes, ou des connexions du VPN vers d'autres machines ? Volexity conseille une investigation forensique ; la CISA exige un triage forensique de la part des agences américaines. À notre avis, changez aussi les mots de passe du compte AD du VPN et de tout compte vu en train de lire ces secrets, et renouvelez les mots de passe LAPS et les clés de récupération BitLocker.
- À éviter : considérer les échéances américaines, le 2 et le 13 novembre, comme un délai de grâce ; Volexity a découvert les attaques début octobre.
Ce que l'on sait – et ce que l'on ignore
- La chaîne, selon la CISA et les fiches CVE : CVE-2026-104935, un contournement de l'authentification noté 8,6 qui permet à un attaquant distant d'exécuter des commandes sans se connecter ; CVE-2026-118527, qui permet à un utilisateur authentifié de téléverser des fichiers à un emplacement connu ; et CVE-2026-111357, qui permet à un utilisateur local d'obtenir les droits root.
- CVE-2026-111357 est notée 8,8 par The Hacker News (repris par LavX) et 7,0 dans la fiche CVE d'Ivanti. CVE-2026-118527 n'avait pas de fiche CVE publiée au 31 octobre ; ses détails proviennent du catalogue de la CISA.
- Volexity a trouvé le groupe, UTA0576, sur un équipement entièrement à jour à ce moment-là (22.8R2.4).
- Motivation : Volexity penche, avec un faible niveau de confiance, pour une motivation criminelle ; LavX parle d'espionnage.
Pourquoi c'est important
Tout ce qui se trouve derrière une passerelle VPN lui fait confiance. Un correctif bouche la faille ; il ne montre pas si quelqu'un l'a déjà utilisée et ne change pas un mot de passe volé. Corrigez aujourd'hui, puis regardez là où ces attaquants sont allés : l'annuaire.