Failles d'Ivanti Connect Secure enchaînées pour un accès root sans authentification

L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté deux failles de sécurité critiques dans Ivanti Connect Secure (ICS) à son catalogue des vulnérabilités connues et exploitées (KEV) le vendredi 31 octobre 2026. Cette décision fait suite à la confirmation d'une exploitation active sur le terrain par un acteur de menace jusqu'alors non documenté, marquant une escalade significative des attaques contre cette passerelle d'accès sécurisé largement utilisée.

Ce qui s'est passé

Les deux nouvelles vulnérabilités répertoriées sont CVE-2026-111357 et CVE-2026-118527. La CVE-2026-111357 affiche un score CVSS de 8,8 et concerne une absence d'authentification pour une fonction critique, permettant à un attaquant local authentifié d'escalader ses privilèges. La CVE-2026-118527 a un score CVSS de 4,3 et résulte de la génération de nombres ou identifiants prévisibles, ce qui permet à un attaquant distant authentifié de téléverser des fichiers avec un contenu contrôlé vers un emplacement disque connu.

Ces bugs ne sont pas des problèmes isolés mais font partie d'une chaîne d'exploitation sophistiquée documentée pour la première fois par Volexity au début du mois d'octobre 2026. La chaîne utilise ces deux failles ainsi qu'une vulnérabilité de contournement d'authentification, la CVE-2026-104935 (CVSS 8,6), que la CISA avait déjà ajoutée au catalogue KEV le 13 octobre 2026. L'acteur de menace derrière ces attaques, baptisé UTA0576, utilise cette combinaison pour obtenir une exécution de code au niveau root sans authentification sur les systèmes ciblés.

Contrairement aux campagnes typiques de déploiement de ransomware ou de logiciels malveillants, les objectifs de UTA0576 semblent se concentrer sur l'espionnage et la collecte d'identifiants. Les observations indiquent que l'acteur extrait des identifiants et des métadonnées limitées d'Active Directory, effectue une reconnaissance des hôtes et recherche spécifiquement les mots de passe administrateur et les clés de récupération BitLocker. Cela suggère une approche visant des cibles à haute valeur plutôt qu'une perturbation indiscriminée.

Comment cela fonctionne

L'attaque repose sur l'enchaînement de trois vulnérabilités distinctes pour contourner plusieurs couches de défense. Elle commence par la CVE-2026-104935, un contournement d'authentification qui permet à l'attaquant d'entrer dans le système sans identifiants valides. Une fois à l'intérieur, l'attaquant exploite la CVE-2026-118527 pour téléverser des fichiers malveillants vers un emplacement prévisible sur le disque, obtenant ainsi une exécution de code à distance (RCE) dans le contexte de l'application.

La dernière étape implique la CVE-2026-111357, une faille d'escalade locale de privilèges. Comme les étapes précédentes donnent à l'attaquant un point d'appui avec des permissions limitées, cette vulnérabilité lui permet d'élever son accès au niveau root. En combinant contournement d'authentification, RCE et escalade de privilèges, l'acteur prend le contrôle complet de l'appareil sans jamais avoir besoin de s'authentifier légitimement. Volexity a noté que cette chaîne permet une « exécution de code au niveau root sans authentification », représentant une compromission totale de l'appliance.

Détails clés

• CVE-2026-111357 : CVSS 8,8, absence d'authentification pour une fonction critique, permet l'escalade locale de privilèges.
• CVE-2026-118527 : CVSS 4,3, identifiants prévisibles permettant le téléversement de fichiers distants vers des emplacements connus.
• CVE-2026-104935 : CVSS 8,6, contournement d'authentification, ajoutée au KEV le 13 octobre 2026.
• Acteur de menace : UTA0576, auparavant non documenté, se concentre sur l'extraction d'identifiants et de métadonnées.
• Versions corrigées : ICS 25.1.1.3 (corrige 25.1.1.2 et versions antérieures) et 22.8R2.6 (corrige 22.8R2.5 et versions antérieures).
• Échéances : Les agences FCEB doivent patcher la CVE-2026-111357 avant le 2 novembre 2026, et la CVE-2026-118527 avant le 13 novembre 2026.

Pourquoi c'est important

Pour les équipes de direction en ingénierie et informatique, cet incident met en évidence le danger de l'enchaînement de vulnérabilités. Une seule faille avec un score CVSS modéré comme la CVE-2026-118527 pourrait être dépriorisée lors des évaluations de risques standard, mais lorsqu'elle est combinée à d'autres faiblesses, elle devient un maillon critique d'une chaîne menant à la compromission complète du système. Cela renforce la nécessité d'envisager les correctifs de sécurité de manière holistique plutôt qu'isolément, surtout pour les périphériques périmétriques comme les passerelles d'accès sécurisé.

Le comportement de UTA0576 déplace également l'accent défensif de la simple détection de logiciels malveillants vers l'hygiène des identifiants et la surveillance des mouvements latéraux. Puisque l'attaquant traque les clés BitLocker et les métadonnées Active Directory, la protection traditionnelle des points de terminaison peut ne pas signaler l'activité comme malveillante si aucune charge binaire n'est déposée. Les équipes doivent s'assurer que les solutions de journalisation et de surveillance sont configurées pour détecter les activités de numérotation inhabituelles et les modèles d'accès aux identifiants, même provenant de services internes fiables.

Ce que vous pouvez faire

• Mettez immédiatement à niveau Ivanti Connect Secure vers la version 25.1.1.3 ou 22.8R2.6, selon votre branche actuelle.
• Vérifiez qu'aucun fichier non autorisé n'a été téléversé dans les répertoires accessibles en écriture connus sur vos appliances ICS.
• Faites tourner tous les mots de passe administrateur et les clés de récupération BitLocker stockés sur ou accessibles depuis les systèmes affectés.
• Examinez les journaux pour repérer des signes de reconnaissance d'hôte ou de requêtes inhabituelles de métadonnées Active Directory depuis le début du mois d'octobre 2026.
• Appliquez une segmentation réseau stricte pour limiter l'impact en cas de compromission d'une appliance, empêchant ainsi les mouvements latéraux.
• Surveillez les indicateurs de compromission associés à UTA0576, en vous concentrant sur l'extraction d'identifiants plutôt que sur les simples signatures de logiciels malveillants.