# Ivanti corrige deux zero-days de Connect Secure déjà exploités

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/ivanti-connect-secure-cve-2026-111357-correctif
- Auteur : Kelvyn
- Publié le : 2 novembre 2026 (2026-11-02T12:10:30.974Z)
- Rubrique : Cybersécurité
- Sujets : Ivanti, Connect Secure, Volexity, CVE-2026-111357, CVE-2026-118527
- Langue : français

Le 29 octobre 2026, Ivanti a publié les correctifs de deux failles zero-day de Connect Secure, CVE-2026-111357 et CVE-2026-118527, déjà enchaînées avec CVE-2026-104935 pour exécuter des commandes en root sur des passerelles VPN encore au palier de mi-octobre.

## Le correctif du 13 octobre laissait la chaîne ouverte

Le 13 octobre 2026, la société Volexity avait décrit un attaquant, suivi sous le nom UTA0576, capable d'obtenir un accès root sans authentification sur un Ivanti Connect Secure en version 22.8R2.4, pourtant à jour à cette date. L'exploitation observée par Volexity commence le 3 octobre 2026. Ivanti avait alors corrigé CVE-2026-104935, un contournement d'authentification noté 8,6 sur 10, mais pas l'élévation de privilèges qui termine la chaîne. [Notre article du 14 octobre 2026](https://klynlabs.eu/articles/ivanti-connect-secure-trois-zero-days-chaine-root-volexity) indiquait qu'un correctif de cette troisième faille était annoncé pour les semaines suivantes, sans numéro CVE.

Ce correctif est sorti le 29 octobre 2026. Rapid7, dans une analyse publiée le 2 novembre 2026, précise que les versions du 13 octobre, 25.1.1.2 et 22.8R2.5, ne corrigent ni CVE-2026-111357 ni CVE-2026-118527. Un appareil mis à jour à la mi-octobre reste donc exposé à la chaîne tant qu'il n'a pas reçu ce second palier.

## Deux failles aux rôles distincts, et des scores qui divergent

Ivanti note CVE-2026-111357 à 8,8 sur 10 (CVSS 3.1). Rapid7 la décrit comme une élévation de privilèges pour un attaquant déjà authentifié sur l'appareil. Le dossier public de la CVE, toujours selon Rapid7, la note plutôt à 7,0, avec une complexité d'attaque jugée haute. CVE-2026-118527 est notée 4,3 par Ivanti : un attaquant authentifié à distance peut déposer un fichier à un emplacement connu du disque. Séparées, ces deux failles ne donnent pas un accès anonyme. Enchaînées avec CVE-2026-104935, qui permet d'exécuter des commandes sans s'authentifier, elles retrouvent l'accès root décrit en octobre.

Ivanti indique une exploitation réelle, antérieure à la publication des correctifs, chez un nombre limité de clients. Volexity a observé le vol d'identifiants et des requêtes vers l'Active Directory visant les mots de passe gérés par Windows LAPS (Local Administrator Password Solution) et les clés de récupération BitLocker. BleepingComputer, citant la société Defused, place les premiers signes d'exploitation de CVE-2026-104935 au 1er octobre 2026, soit deux jours avant la date retenue par Volexity. L'attaquant ne laisse pas de programme persistant : il rejoue la chaîne pour chaque commande et altère des journaux. L'outil Integrity Checker Tool d'Ivanti ne voit donc pas l'intrusion.

## Les versions à installer, selon Rapid7 et la CISA

Rapid7, en s'appuyant sur l'avis Ivanti mis à jour le 29 octobre 2026, donne les paliers des deux nouvelles failles. La branche 25.1.1 passe de 25.1.1.2 et antérieur à 25.1.1.3. La branche 22.8 passe de 22.8R2.5 et antérieur à 22.8R2.6. Ivanti recommande de quitter la branche 22.8 pour 25.1.1.3 ou plus récent, et de n'appliquer 22.8R2.6 que si la migration ne peut pas se faire tout de suite. Les appliances ISA4500, ISA6500 et ISA8500 en version 25.1.3.0 ou plus récente sont listées comme non affectées.

La Cybersecurity and Infrastructure Security Agency (CISA), l'agence américaine de cybersécurité, a révisé son alerte le 30 octobre 2026. Elle a ajouté CVE-2026-111357 et CVE-2026-118527 à son catalogue des failles déjà exploitées. CVE-2026-104935 y figurait depuis le 13 octobre 2026. La CISA cite comme touchées les versions 25.1.1.2 et antérieures, 25.1.2.2 et antérieures, ainsi que 22.8R2.5 et antérieures, et demande d'installer la dernière version disponible. La branche 22.8 arrive en fin de support le 31 janvier 2027.

L'agence rappelle qu'une recherche de compromission passe par le réseau et la mémoire, parce que les commandes liées à CVE-2026-104935 s'exécutent en mémoire. Si la compromission est suspectée, la procédure qu'elle reprend d'Ivanti consiste à sauvegarder la configuration, réinitialiser l'appareil (ou reconstruire l'instance virtuelle), installer la version corrigée, restaurer la configuration, puis renouveler les mots de passe, les certificats, les clés d'API et les identifiants du serveur de licences.

BleepingComputer, citant Shadowserver le 2 novembre 2026, recense plus de 5 000 instances Connect Secure exposées sur Internet. Ce chiffre ne précise pas combien ont déjà reçu 25.1.1.3 ou 22.8R2.6.

> Les builds du 13 octobre 2026, 25.1.1.2 et 22.8R2.5, ne ferment pas CVE-2026-111357 ni CVE-2026-118527. La version à viser est 25.1.1.3 ou ultérieure, ou 22.8R2.6 seulement si la branche 22.8 doit rester en place.

## Source

- [Rapid7, 2 novembre 2026](https://www.rapid7.com/blog/post/etr-additional-ivanti-connect-secure-zero-days-exploited-in-the-wild-cve-2026-111357-cve-2026-118527/) : scores, builds corrigés et limite des correctifs du 13 octobre.
- [CISA, alerte révisée le 30 octobre 2026](https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerabilities-ivanti-connect-secure) : ajout des deux CVE au catalogue des failles exploitées et versions touchées.
- [BleepingComputer, 2 novembre 2026](https://www.bleepingcomputer.com/news/security/ivanti-patches-two-more-connect-secure-zero-days-chained-in-attacks/) : chaîne d'exploitation et décompte Shadowserver.

## À retenir

- Le 29 octobre 2026, Ivanti a corrigé CVE-2026-111357 et CVE-2026-118527, deux zero-days de Connect Secure déjà enchaînés avec CVE-2026-104935.
- Les versions du 13 octobre, 25.1.1.2 et 22.8R2.5, ne corrigent pas ces deux failles : il faut 25.1.1.3, ou 22.8R2.6 si la branche 22.8 reste en place.
- La CISA a inscrit les deux nouveaux identifiants à son catalogue le 30 octobre 2026, et la branche 22.8 arrive en fin de support le 31 janvier 2027.
- Volexity date l'exploitation du 3 octobre 2026 sur un appareil en 22.8R2.4 ; l'Integrity Checker Tool d'Ivanti ne détecte pas cette chaîne.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/ivanti-connect-secure-cve-2026-111357-correctif