Ivanti Connect Secure : des zero-days offrent l'accès root
Un acteur malveillant non identifié enchaîne trois vulnérabilités dans les appliances VPN Ivanti Connect Secure (ICS) pour obtenir un accès root, voler des identifiants et cartographier les réseaux de ses victimes. Les attaques ont fonctionné contre des appliances qui étaient à jour au moment des faits.
Volexity a découvert cette activité au cours de la première semaine d'octobre 2026 et suit l'attaquant sous le nom de UTA0576. L'appliance compromise tournait sous la version 22.8R2.4, la plus récente disponible à ce moment-là.
Ivanti affirme que seul un nombre limité de clients était touché au moment de la divulgation du problème, et qu'elle accompagne ces organisations.
Trois failles, une seule chaîne
Selon Volexity, la chaîne commence par un contournement de l'authentification dans welcome.cgi. Vient ensuite une vulnérabilité d'écriture de fichiers dans wu.cgi. La dernière étape est une faille d'élévation de privilèges liée à la confiance que le broker dsinvoked d'ICS accorde aux données de configuration DSCache. Cette faille permet à un attaquant d'exécuter des commandes en tant que root.
Avec l'accès root, UTA0576 avait le contrôle total des appareils ciblés. Les attaquants s'en sont servis pour :
- extraire les identifiants stockés sur l'appliance
- exfiltrer une partie des métadonnées Active Directory
- récupérer les mots de passe administrateur locaux et les clés de récupération BitLocker
- voler des données de configuration
- capturer le trafic LDAP transitant par l'appliance compromise
- falsifier les journaux, supprimer les artefacts d'exécution temporaires et, plus généralement, effacer leurs traces
D'après Defused Cyber, la première attaque confirmée remonte au 1er octobre.
Crime ou espionnage ?
Volexity estime, avec un faible degré de confiance, que UTA0576 est motivé par l'appât du gain plutôt que par l'espionnage, et fonde cet avis sur le profil des cibles. Comme l'intrusion a été détectée et stoppée, les chercheurs n'ont pas pu déterminer l'objectif final des attaquants.
Ils sont plus sûrs de la direction prise. Volexity estime avec un degré de confiance élevé que les actions de l'attaquant préparaient un déplacement latéral et une compromission plus large du réseau de la victime.
Un correctif pour une partie de la chaîne
Ivanti a publié un correctif pour la vulnérabilité de contournement de l'authentification et d'exécution de code à distance, référencée CVE-2026-104935. Un correctif pour la partie élévation de privilèges de la chaîne est toujours en cours.
L'entreprise indique avoir déjà repéré une partie du problème grâce à son propre programme de sécurité produit. Elle avait corrigé cette partie dans la version 25.1.3.0 en juillet et était en train de rétroporter le correctif vers ses autres versions prises en charge quand les attaques ont commencé.
Ivanti demande à ses clients de passer à une version corrigée, de vérifier leurs systèmes à l'aide des indicateurs de compromission publiés par Volexity et d'exécuter régulièrement l'outil ICS Integrity Checker Tool. Celui-ci recherche les modifications inattendues des fichiers sur le disque.
Volexity prévient que l'outil ne sera pas d'un grand secours ici. La chaîne d'exploitation modifie le code des bibliothèques uniquement en mémoire et restaure les données du magasin de configuration, si bien que l'outil ne voit rien d'anormal. Selon Volexity, une investigation forensique est nécessaire pour trouver des traces d'exploitation.
La CISA, l'agence américaine de cybersécurité et de sécurité des infrastructures, a donné des conseils similaires. Elle a ajouté CVE-2026-104935 à son catalogue Known Exploited Vulnerabilities et a ordonné aux agences fédérales civiles américaines de corriger la faille et de mener un tri forensique d'ici le 16 octobre 2026. Les organisations qui découvrent des signes de compromission doivent suivre les étapes de restauration d'Ivanti.
Pourquoi c'est important
Cette affaire montre que "entièrement à jour" ne veut pas dire sûr sur les équipements en bordure de réseau. Les attaquants ont contourné une version récente et ont si bien effacé leurs traces qu'ils ont échappé à l'outil d'intégrité de l'éditeur lui-même. Les administrateurs qui comptent sur cet outil pour se rassurer ne devraient pas le faire cette fois-ci.
Ces attaques suivent aussi un schéma bien connu. Les équipements d'accès à distance continuent d'attirer les attaquants, comme le montrent les affaires récentes concernant le SonicWall SMA1000, une zero-day SAML dans Citrix NetScaler et des appareils Fortinet compromis.
Deux points sont à surveiller. Le premier : la date à laquelle Ivanti livrera le correctif pour l'élévation de privilèges. Le second : l'apparition éventuelle d'autres victimes. Les clés BitLocker et les mots de passe administrateur volés laissent penser que de nouvelles intrusions sont possibles.