Ivanti Connect Secure : trois failles zero-day enchaînées pour obtenir root

Le 13 octobre 2026, la société de sécurité Volexity a révélé qu'un attaquant enchaînait trois failles zero-day dans Ivanti Connect Secure, un appareil VPN, pour exécuter des commandes en root sans authentification, et Ivanti n'a corrigé que deux de ces trois failles à ce jour.

Comment fonctionne l'attaque contre Ivanti Connect Secure ?

Selon The Hacker News, les deux premières failles, un contournement d'authentification et une exécution de code à distance, sont regroupées sous l'identifiant CVE-2026-104935 et permettent d'exécuter du code sous le compte cgi-server. Une troisième faille, une élévation de privilèges, fait passer l'attaquant à root. Elle n'a pas de numéro CVE dans l'article. Ivanti attribue un score CVSS de 8,6 sur 10 à CVE-2026-104935, et la fiche de la CISA, l'agence américaine de cybersécurité, marque l'exploitation comme « active ».

Volexity a découvert l'attaque sur l'appareil d'un client sous la version 22.8R2.4, entièrement à jour. L'attaquant, suivi sous le nom UTA0576, exploitait les failles depuis le 3 octobre. Ivanti reconnaît une exploitation « limitée » ; le nombre de victimes n'a pas été communiqué.

Que fait l'attaquant une fois dans l'appareil ?

Il vole les identifiants stockés, notamment ceux du domaine LDAP, cherche des mots de passe dans l'Active Directory et mène des attaques par password spraying (essais d'un même mot de passe sur de nombreux comptes). Il ne laisse ni porte dérobée ni web shell : la chaîne d'exploitation est rejouée pour chaque commande. L'exploit modifie des bibliothèques uniquement en mémoire puis restaure la configuration, si bien que l'outil Integrity Checker d'Ivanti ne détecte pas la chaîne. Volexity estime, avec une faible confiance, qu'il s'agit de criminels plutôt que d'espions.

Quelles versions sont concernées ?

Ivanti indique que les versions de Connect Secure antérieures à 25.1.3.0 sont touchées, alors que 22.7R2.14 et les précédentes, ainsi que 22.8R2.5, 25.1.3.0 et 25.1.3.1, sont listées comme non affectées. La version 22.8R2.4, celle de l'appareil attaqué, ne figure explicitement dans aucune de ces listes : le rapport ne tranche pas.

Que faire si l'on administre un Connect Secure ?

Ivanti demande d'agir « immédiatement » et de mettre à jour vers une version corrigée. Le correctif de la troisième faille est annoncé « dans les prochaines semaines » par Volexity, qui ne précise pas le risque restant une fois les deux premières failles corrigées. Aucune solution de contournement n'est mentionnée. L'Integrity Checker ne suffisant pas, une investigation forensique (réseau et mémoire) s'impose en cas de doute. Les indicateurs publiés sont un grand nombre de requêtes vers /dana-na/auth/url_default/welcome.cgi, un en-tête HTTP X-DSCGI-PATH dont la valeur ne correspond pas au chemin, le répertoire /data/.icscap/ et l'adresse IP 108.165.147[.]64.

Ce qui reste à confirmer

On ignore si la mise à jour supprime un accès déjà obtenu, combien de clients sont touchés et quand la troisième faille sera corrigée. Cette alerte s'ajoute à une série d'attaques sur les équipements d'accès distant ; nous avions déjà décrit un rootkit Linux sur F5 BIG-IP APM.

Source

The Hacker News, Attacker Chains Three Ivanti Connect Secure Zero-Days.