Vulnérabilité critique dans Ivanti Connect Secure
.png)
Produits concernés
• Ivanti Connect Secure 22.8.X versions 22.8R2.4 et antérieures
• Ivanti Connect Secure 25.1.1.X (ISA6000, ISA8000) versions 25.1.1.1 et antérieures
• Ivanti Connect Secure 25.1.2.X (ISA4500, ISA6500, ISA8500) versions 25.1.2.2 et antérieures
Prérequis
• Accès réseau à l'interface web de l'appliance Ivanti Connect Secure
Risques
• Exécution de code arbitraire
• Accès au réseau interne de l'entreprise
• Exploitation d'informations d'identification
• Vol de données
Résumé
Une vulnérabilité critique de type "Exécution de code arbitraire" affectant la solution Ivanti Connect Secure a récemment été publiée par l'éditeur Ivanti le 13 octobre 2026.
Le niveau de criticité initial de cette vulnérabilité est de 8.6 (score CVSSv3.1).
La solution Ivanti Connect Secure est une passerelle VPN SSL permettant l'accès distant sécurisé aux ressources de l'entreprise.
• CVE-2026-104935 : Une vulnérabilité de contournement d'authentification combinée à une faille d'écriture de fichier dans la solution Ivanti Connect Secure pourrait permettre à un attaquant distant non authentifié d'exécuter des commandes arbitraires sur l'appliance. L'exploitation de cette CVE, chaînée à une troisième vulnérabilité d'élévation de privilèges non corrigée à la date d'émission de ce bulletin, permet à l'attaquant d'obtenir les privilèges root sur l'appliance, d'y dérober les identifiants Active Directory utilisés par le VPN et de mener des actions de reconnaissance et de vol d'identifiants sur le réseau interne.
Cette vulnérabilité est activement exploitée depuis début octobre 2026 par un groupe d'attaquants suivi sous le nom UTA0576, y compris sur des appliances à jour au moment de l'attaque. Elle a été ajoutée au catalogue KEV de la CISA le 13 octobre 2026.
Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute machine exposée sur Internet.
Solutions
Détection de la compromission :
L'outil Integrity Checker Tool d'Ivanti ne permet pas de détecter cette compromission, l'exploitation se faisant uniquement en mémoire et l'attaquant supprimant ses traces dans les journaux. Afin de vérifier si un équipement est compromis, vous pouvez :
• Rechercher un volume anormal de requêtes vers /dana-na/auth/url_default/welcome.cgi contenant l'en-tête X-DSCGI-PATH, en particulier avec les valeurs /home/webserver/htdocs/dana/fb/smb/wu.cgi ou /home/runtime/tmp/
• Surveiller toute incohérence entre le chemin de l'URL et la valeur de l'en-tête X-DSCGI-PATH
• Vérifier la présence de fichiers suspects dans /tmp/ et /home/runtime/tmp/ (fichiers ics-root-run-inband-*.pl et ics-root-result-inband-*)
• Vérifier la présence du répertoire caché /data/.icscap/ et d'un processus dsstatmond réalisant de la capture réseau
• Rechercher depuis l'appliance des tentatives de mouvement latéral, des requêtes LDAP inhabituelles vers les contrôleurs de domaine ou des tentatives de password spraying
• En cas de doute, réaliser une analyse forensique mémoire et réseau de l'appliance
IOC :
• Adresse IP : 108.165.147[.]64
• Fichiers : /tmp/ml.py, /tmp/rq5.py, /tmp/mk.py, /tmp/rr.py, /tmp/pu.txt, sp_run.py, sp_out.txt, spray_hits.json, /data/.icscap/h.py, /data/.icscap/dsstatmond, /data/.icscap/cap*
• Indicateurs complémentaires publiés par Volexity : https://github.com/volexity/threat-intel/tree/main/2026/2026-10-13%20Ivanti
Remédiation
Mettre à jour Ivanti Connect Secure vers les versions :
• 22.8R2.5 et ultérieures pour la branche 22.8
• 25.1.1.2 et ultérieures pour les appliances ISA6000 et ISA8000
• 25.1.3.0, 25.1.3.1 et ultérieures pour les appliances ISA4500, ISA6500 et ISA8500
Les versions 22.7R2.14 et antérieures ne sont pas affectées. Les branches 22.7 et 22.8 arrivent en fin de support le 31 janvier 2027 : Ivanti recommande de migrer vers la branche 25.1.
En cas de suspicion de compromission, réinitialiser le compte de service Active Directory utilisé par l'appliance ainsi que l'ensemble des identifiants stockés sur celle-ci.
Mitigation
Aucune mitigation officielle n'est disponible. La vulnérabilité d'élévation de privilèges utilisée dans la chaîne d'exploitation n'est pas corrigée à la date d'émission de ce bulletin, un correctif étant annoncé par l'éditeur dans les prochaines semaines.
Restez informés des dernières menaces !
Recevez les alertes de sécurité critiques et nos conseils pour protéger votre entreprise.
