Le 13 octobre 2026, la CISA a ajouté CVE-2026-104935 à son catalogue KEV, avec une échéance au 16 octobre. Elle touche Ivanti Connect Secure, la passerelle VPN SSL d'Ivanti, et mène à l'exécution de commandes sans authentification. Trois jours pour agir.
NVD n'a pas encore publié de score ni de versions à la date de rédaction. La référence pour savoir quelles versions sont concernées et laquelle installer est l'avis de sécurité Ivanti.
| Champ | Valeur |
|---|---|
| CVSS | non publié par NVD (à la date de rédaction) |
| Vecteur | non publié |
| Publication NVD | non publiée |
| Ajout CISA KEV | 2026-10-13 |
| Échéance CISA | 2026-10-16 |
| Ransomware | non signalé par la CISA |
Ce que dit la CISA
Ivanti Connect Secure contains an authentication bypass by spoofing vulnerability that allows a remote unauthenticated attacker to execute arbitrary commands.
Un contournement d'authentification par usurpation : l'appliance accepte comme légitime une identité ou une origine qu'elle n'a pas réellement vérifiée. Le résultat est le pire possible pour une passerelle d'accès : un attaquant distant et non authentifié exécute des commandes sur l'équipement.
La fiche ne précise pas ce qui est usurpé. Je ne vais pas l'inventer.
Pourquoi Ivanti Connect Secure, encore
Ce n'est pas la première fois. Connect Secure a connu plusieurs vagues d'exploitation ces dernières années, dont celles de 2024 que nous avions détaillées dans notre article sur les vulnérabilités Ivanti de 2024. Le schéma s'est répété à chaque fois : exploitation rapide, implants installés sur l'appliance, et persistance qui survit parfois aux mises à jour.
La raison est structurelle. Une passerelle VPN est exposée à Internet par construction, elle détient des secrets d'authentification (comptes, certificats, liaison avec l'annuaire) et elle se situe à la frontière du réseau interne. Une commande exécutée sur l'appliance, c'est un attaquant déjà à l'intérieur.
Vérifier l'intégrité : l'outil ICT d'Ivanti
Ivanti fournit un Integrity Checker Tool (ICT), qui compare les fichiers de l'appliance à l'image attendue et signale les fichiers modifiés ou ajoutés. Il existe en version intégrée et en version externe. Sur une appliance exposée pendant une période d'exploitation active, c'est le premier contrôle à lancer, avant et après la mise à jour.
Deux précautions :
- utiliser la version de l'ICT recommandée par Ivanti pour ta version de Connect Secure, d'après l'avis de sécurité ou la documentation éditeur ;
- ne pas considérer un ICT propre comme une preuve absolue : lors des campagnes précédentes, certains implants cherchaient précisément à tromper ce contrôle. Combine-le avec l'analyse des journaux.
Détection
- Résultats de l'ICT : tout fichier modifié ou inattendu est un signal d'incident
- Journaux de l'appliance : sessions d'administration ou de configuration sans connexion correspondante, erreurs inhabituelles, redémarrages inexpliqués
- Côté réseau interne : connexions depuis l'adresse interne de l'appliance vers des serveurs qu'elle ne contacte jamais (contrôleurs de domaine hors authentification, partages, postes)
- Côté annuaire : utilisation du compte de service de liaison LDAP/AD depuis une autre source ou à des heures inhabituelles
- Sorties réseau de l'appliance vers des destinations inconnues
Mitigation
- Appliquer le correctif Ivanti ou, à défaut, la mesure d'atténuation publiée par l'éditeur, avant l'échéance du 16 octobre.
- Lancer l'ICT avant toute intervention, puis après la mise à jour, et conserver les résultats.
- Restreindre l'interface d'administration à un réseau de gestion : elle n'a jamais à être joignable depuis Internet.
- Si l'ICT ou les journaux montrent une anomalie : suivre la procédure de réponse d'Ivanti (réinitialisation de l'appliance, reconstruction), puis faire tourner tous les secrets que l'appliance détenait : comptes locaux, certificats, compte de liaison à l'annuaire, et les mots de passe des utilisateurs qui se sont connectés pendant la période suspecte.
- Isoler l'appliance côté interne : elle ne devrait atteindre que les ressources nécessaires au service VPN.
Pourquoi surveiller en continu vos passerelles VPN
Une passerelle VPN est le premier équipement qu'un attaquant scanne et le dernier qu'on peut se permettre de laisser en retard. Quand une CVE y entre au KEV avec trois jours d'échéance et sans score NVD, le délai de réaction dépend entièrement de la rapidité de l'alerte.
Avec cveo.tech, déclare tes appliances VPN avec leur version exacte et reçois une alerte dès qu'une CVE qui les concerne entre au catalogue CISA KEV.