La CISA ordonne un correctif urgent pour Ivanti alors que des attaquants contournent l'authentification via un en-tête

L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a publié une directive urgente demandant aux organisations de mettre à jour immédiatement les appliances Ivanti Connect Secure. Cette mesure fait suite à la divulgation d'une vulnérabilité critique zero-day actuellement exploitée dans la nature par des acteurs malveillants. L'agence a confirmé que des attaquants distants profitent de cette faille pour contourner l'authentification et exécuter des commandes arbitraires sur les systèmes affectés.

Ce qui s'est passé

Le défaut de sécurité, identifié sous le nom de CVE-2026-104935, présente un score CVSS de 8,6 et affecte plusieurs versions de la plateforme Ivanti Connect Secure. Il touche spécifiquement les versions 25.1.1.1 et antérieures, 25.1.2.2 et antérieures, ainsi que 22.8R2.4 et antérieures. La CISA a indiqué que les cybermenaces utilisent ce contournement d'authentification pour procéder au vol d'identifiants et à l'exfiltration de données. Par conséquent, l'agence a ajouté cette vulnérabilité à son catalogue des vulnérabilités connues et exploitées (Known Exploited Vulnerabilities), ce qui oblige les agences du pouvoir exécutif civil fédéral (FCEB) à appliquer les correctifs avant le 16 octobre 2026.

Les preuves d'une exploitation active se multiplient au sein de plusieurs entreprises de sécurité. Previdian a signalé avoir observé 105 tentatives d'exploitation visant ses capteurs honeypot au 14 octobre 2026. Ces attaques provenaient de 50 adresses IP uniques situées à Singapour et aux États-Unis. De son côté, Volexity a détecté la première exploitation le 3 octobre 2026, attribuée à un acteur de menace jusqu'alors non documenté, connu sous le nom de UTA0576. Defused Cyber a également confirmé avoir intercepté des tentatives d'exploitation avant la divulgation publique, à partir du 1er octobre 2026, indiquant que les attaquants étaient actifs avant l'annonce officielle.

La CISA conseille que la détermination d'une compromission nécessite une analyse forensique réseau et mémoire. Si une violation est détectée, la réponse recommandée consiste à sauvegarder les configurations, effectuer une réinitialisation d'usine, passer à la dernière version et restaurer la configuration. Pour les systèmes cloud ou virtuels, il est préférable de reconstruire l'instance. Les organisations doivent également réinitialiser tous les mots de passe, révoquer les certificats et réinitialiser les clés API. La CISA a en outre rappelé que la version 22.8 arrive en fin de vie le 31 janvier 2027, incitant les clients à consulter les guides de migration.

Comment cela fonctionne

La vulnérabilité est un contournement d'authentification qui permet à un attaquant distant non authentifié d'exécuter des commandes arbitraires. Selon Yordan Ganchev, spécialiste principal du renseignement sur les menaces chez watchTowr, la cause profonde est remarquablement simple. Une seule requête contenant un en-tête « X-DSCGI-PATH » spécialement conçu suffit à contourner les contrôles d'authentification. Cet en-tête donne accès à des fonctionnalités internes sensibles qui devraient autrement être restreintes, ouvrant efficacement la porte au système sans identifiants valides.

Ryan Dewhurst, fondateur de Previdian, a expliqué que les acteurs de menace utilisent cet en-tête pour atteindre un gestionnaire CGI interne. Une fois l'accès obtenu, les attaquants téléversent des scripts Perl déguisés en fichiers ZIP. Ces scripts renvoient des marqueurs uniques pour confirmer si l'exécution de code à distance a réussi. Bien que les charges utiles actuelles observées par Previdian testent principalement l'exécution de code plutôt que de déployer des logiciels malveillants complets, les experts avertissent qu'une exploitation armée suivra probablement rapidement. La simplicité du mécanisme d'exploitation signifie qu'il peut être facilement automatisé et étendu.

Les chercheurs de Volexity ont noté que l'acteur de menace UTA0576 a combiné cette vulnérabilité avec un défaut d'élévation de privilèges pour obtenir une exécution de code root non authentifiée. Contrairement aux attaques typiques qui laissent derrière elles des logiciels malveillants persistants ou des web shells, cet acteur a réexploité le dispositif pour chaque commande exécutée. Ils ont activement altéré les journaux et supprimé les artefacts temporaires pour échapper aux outils de détection, y compris l'Integrity Checker Tool d'Ivanti. Cette approche sans fichier rend l'analyse forensique traditionnelle plus difficile, car moins d'indicateurs statiques de compromission sont laissés sur le disque.

Détails clés

• ID de la vulnérabilité : CVE-2026-104935 avec un score CVSS de 8,6.
• Versions affectées : Ivanti Connect Secure 25.1.1.1 et antérieures, 25.1.2.2 et antérieures, et 22.8R2.4 et antérieures.
• Mécanisme d'exploitation : Contournement d'authentification via un en-tête « X-DSCGI-PATH » manipulé, entraînant une exécution de code à distance.
• Menaces actives : Observées par Previdian, Volexity et Defused Cyber depuis début octobre 2026.
• Acteur de menace : UTA0576, évalué comme étant motivé par des activités criminelles, utilise des techniques sans fichier et l'altération des journaux.
• Délai fédéral : Les agences FCEB doivent appliquer le correctif avant le 16 octobre 2026.

Pourquoi c'est important

Pour les ingénieurs logiciels et les responsables IT, cet incident met en évidence le risque persistant posé par les appliances réseau complexes. Ivanti Connect Secure a un historique de vulnérabilités, ce problème rejoignant 14 autres sur la liste KEV de la CISA. La rapidité avec laquelle l'exploitation est passée d'attaques ciblées à des scans plus larges suggère qu'une exploitation massive est imminente. Les organisations dépendant de ces appliances pour l'accès à distance font face à des risques immédiats de vol d'identifiants et de mouvement latéral au sein de leurs réseaux. Le fait que l'exploitation soit simple et sans fichier signifie que la protection standard des points de terminaison pourrait ne pas détecter la violation initiale.

L'impact opérationnel est significatif car la remédiation ne se limite pas à une simple application de correctif. La recommandation de la CISA pour une réinitialisation d'usine et une restauration de configuration indique que l'intégrité de l'installation existante ne peut plus être considérée comme fiable une fois compromise. Ce processus introduit des temps d'arrêt et des frictions opérationnelles, nécessitant une planification minutieuse. De plus, la nécessité de réinitialiser toutes les identifications et de réémettre les certificats implique une refonte globale de la sécurité pour toute organisation affectée. Les ingénieurs doivent prioriser l'enquête forensique pour s'assurer qu'aucune porte dérobée ne subsiste, car les attaquants ont délibérément dissimulé leurs activités.

Ce que vous pouvez faire

• Mettez à jour immédiatement les appliances Ivanti Connect Secure vers la dernière version corrigée.
• Analysez les journaux réseau à la recherche de requêtes entrantes contenant l'en-tête « X-DSCGI-PATH ».
• Menez des analyses forensiques mémoire et réseau pour identifier les signes d'exploitation si la mise à jour a été retardée.
• Si une compromission est suspectée, effectuez une réinitialisation d'usine, une mise à niveau et restaurez la configuration à partir d'une sauvegarde.
• Réinitialisez tous les mots de passe utilisateurs, administrateurs et de domaine, et réémettez les certificats stockés et les clés API.
• Consultez le Guide de compatibilité de mise à niveau et de migration d'Ivanti, en particulier pour les utilisateurs de la version 22.8.