# Ivanti Connect Secure : trois failles zero-day enchaînées pour obtenir root

> Volexity décrit une attaque exploitée depuis le 3 octobre, sur un appareil pourtant à jour ; une des trois failles n'est pas encore corrigée.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/ivanti-connect-secure-trois-zero-days-chaine-root-volexity
- Auteur : Kelvyn
- Publié le : 14 octobre 2026 (2026-10-14T04:42:21.398Z)
- Rubrique : Cybersécurité
- Sujets : Vulnérabilité, Zero-day, VPN, Ivanti, Connect Secure, Volexity
- Langue : français

Le 13 octobre 2026, la société de sécurité Volexity a révélé qu'un attaquant enchaînait trois failles zero-day dans Ivanti Connect Secure, un appareil VPN, pour exécuter des commandes en root sans authentification, et Ivanti n'a corrigé que deux de ces trois failles à ce jour.

## Comment fonctionne l'attaque contre Ivanti Connect Secure ?

Selon [The Hacker News](https://thehackernews.com/2026/10/attacker-chains-three-ivanti-connect.html), les deux premières failles, un contournement d'authentification et une exécution de code à distance, sont regroupées sous l'identifiant CVE-2026-104935 et permettent d'exécuter du code sous le compte cgi-server. Une troisième faille, une élévation de privilèges, fait passer l'attaquant à root. Elle n'a pas de numéro CVE dans l'article. Ivanti attribue un score CVSS de 8,6 sur 10 à CVE-2026-104935, et la fiche de la CISA, l'agence américaine de cybersécurité, marque l'exploitation comme « active ».

Volexity a découvert l'attaque sur l'appareil d'un client sous la version 22.8R2.4, entièrement à jour. L'attaquant, suivi sous le nom UTA0576, exploitait les failles depuis le 3 octobre. Ivanti reconnaît une exploitation « limitée » ; le nombre de victimes n'a pas été communiqué.

## Que fait l'attaquant une fois dans l'appareil ?

Il vole les identifiants stockés, notamment ceux du domaine LDAP, cherche des mots de passe dans l'Active Directory et mène des attaques par password spraying (essais d'un même mot de passe sur de nombreux comptes). Il ne laisse ni porte dérobée ni web shell : la chaîne d'exploitation est rejouée pour chaque commande. L'exploit modifie des bibliothèques uniquement en mémoire puis restaure la configuration, si bien que l'outil Integrity Checker d'Ivanti ne détecte pas la chaîne. Volexity estime, avec une faible confiance, qu'il s'agit de criminels plutôt que d'espions.

## Quelles versions sont concernées ?

Ivanti indique que les versions de Connect Secure antérieures à 25.1.3.0 sont touchées, alors que 22.7R2.14 et les précédentes, ainsi que 22.8R2.5, 25.1.3.0 et 25.1.3.1, sont listées comme non affectées. La version 22.8R2.4, celle de l'appareil attaqué, ne figure explicitement dans aucune de ces listes : le rapport ne tranche pas.

## Que faire si l'on administre un Connect Secure ?

Ivanti demande d'agir « immédiatement » et de mettre à jour vers une version corrigée. Le correctif de la troisième faille est annoncé « dans les prochaines semaines » par Volexity, qui ne précise pas le risque restant une fois les deux premières failles corrigées. Aucune solution de contournement n'est mentionnée. L'Integrity Checker ne suffisant pas, une investigation forensique (réseau et mémoire) s'impose en cas de doute. Les indicateurs publiés sont un grand nombre de requêtes vers /dana-na/auth/url_default/welcome.cgi, un en-tête HTTP X-DSCGI-PATH dont la valeur ne correspond pas au chemin, le répertoire /data/.icscap/ et l'adresse IP 108.165.147[.]64.

## Ce qui reste à confirmer

On ignore si la mise à jour supprime un accès déjà obtenu, combien de clients sont touchés et quand la troisième faille sera corrigée. Cette alerte s'ajoute à une série d'attaques sur les équipements d'accès distant ; nous avions déjà décrit un [rootkit Linux sur F5 BIG-IP APM](https://klynlabs.eu/articles/f5-big-ip-apm-rootkit-linux-attaque).

## Source

[The Hacker News, Attacker Chains Three Ivanti Connect Secure Zero-Days](https://thehackernews.com/2026/10/attacker-chains-three-ivanti-connect.html).

## À retenir

- Volexity a révélé le 13 octobre 2026 une chaîne de trois zero-days dans Ivanti Connect Secure donnant un accès root sans authentification.
- Ivanti a corrigé deux des trois failles ; la troisième, une élévation de privilèges, doit l'être dans les prochaines semaines.
- L'outil Integrity Checker d'Ivanti ne détecte pas cette chaîne, selon Volexity, et une analyse forensique est recommandée.
- L'exploitation est observée depuis le 3 octobre 2026 sur un appareil client en version 22.8R2.4, sans nombre de victimes communiqué.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/ivanti-connect-secure-trois-zero-days-chaine-root-volexity