Le 30 octobre 2026, la CISA a ajouté CVE-2026-111357 à son catalogue KEV, avec une échéance au 2 novembre. Elle touche Ivanti Connect Secure et permet une élévation de privilèges vers root sur l'appliance. Seule, elle exige déjà un accès local. Mais la CISA la présente explicitement comme un maillon d'une chaîne qui commence par CVE-2026-104935, l'exécution de commandes sans authentification ajoutée au KEV le 13 octobre.
Le même jour, la CISA a ajouté une seconde vulnérabilité Connect Secure de la même chaîne (génération d'identifiants prévisibles, upload de fichiers à un emplacement connu). Sa fiche NVD n'est pas publiée à la date de rédaction : je la décris plus bas à partir du seul texte de la CISA.
| Champ | Valeur |
|---|---|
| CVSS 3.1 | 7.0 (HIGH), score fourni par MITRE, analysé par NVD |
| Vecteur | CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
| CWE | CWE-829 (inclusion de fonctionnalité depuis une sphère non fiable) |
| Publication NVD | 2026-10-15 |
| Ajout CISA KEV | 2026-10-30 |
| Échéance CISA | 2026-11-02 |
| Ransomware | non signalé par la CISA |
Le mécanisme
D'après NVD, Connect Secure gère mal la façon dont le broker dsinvoked fait confiance aux données de configuration DSCache, ce qui mène à une élévation de privilèges vers root. La description précise que la faille a été exploitée dans la nature en octobre 2026.
Lecture : un composant privilégié consomme des données de configuration qu'un processus moins privilégié peut influencer. Celui qui contrôle ces données contrôle ce que le broker exécute en root. NVD ne détaille pas davantage le chemin d'exploitation et je n'irai pas plus loin.
Le score de 7.0 reflète la faille isolée : vecteur local, privilèges faibles requis, complexité élevée. C'est exactement le type de faille qu'on aurait tendance à repousser. Ici, ce serait une erreur.
Une chaîne en trois temps
La CISA décrit l'enchaînement suivant, cité dans la fiche KEV et dans les références NVD (avis Ivanti et billet de Volexity sur une exploitation en chaîne de zero-days Connect Secure) :
- CVE-2026-104935 : contournement d'authentification, exécution de commandes à distance sans compte. Nous l'avions traitée dans notre article sur CVE-2026-104935.
- Seconde CVE ajoutée le 30 octobre (fiche NVD non publiée) : génération de nombres ou d'identifiants prévisibles, qui permet à un attaquant distant authentifié d'écrire des fichiers au contenu choisi à un emplacement connu sur le disque. Échéance CISA au 13 novembre.
- CVE-2026-111357 : passage en root.
Le « local » et l'« authentifié » des deux dernières ne protègent donc rien si la première est exploitable : l'attaquant arrive avec un pied sur l'appliance et finit avec la main sur le système. Un accès root sur une passerelle VPN, c'est la capacité à installer un implant persistant, à lire les secrets d'authentification et à intercepter les sessions.
Versions concernées selon NVD
| Branche | Bornes NVD |
|---|---|
| 22.8R2 | 22.8R2, R2.1, R2.2, R2.3, R2.4 et R2.5 listées individuellement |
| 25.1 | à partir de 25.1.0.0, jusqu'à 25.1.1.3 exclue |
Ce sont des bornes CPE, pas une consigne de mise à jour. Une borne exclue (25.1.1.3) est la première version hors plage pour NVD, pas forcément celle qu'Ivanti recommande pour corriger l'ensemble de la chaîne. Pour savoir quelle version installer, la référence reste l'avis de sécurité Ivanti sur CVE-2026-104935, cité par NVD et par la CISA.
Détection
- Integrity Checker Tool (ICT) d'Ivanti : à lancer avant et après la mise à jour, en gardant en tête que des implants ont déjà cherché à le tromper lors de campagnes précédentes
- Fichiers inattendus sur l'appliance, en particulier ceux déposés à des emplacements prévisibles
- Processus ou fichiers appartenant à root qui ne correspondent pas à l'image attendue
- Journaux : sessions sans authentification correspondante, redémarrages inexpliqués, modifications de configuration non planifiées
- Côté réseau : connexions de l'appliance vers des destinations inconnues, ou vers des ressources internes qu'elle ne contacte jamais
Si CVE-2026-104935 a été exploitable sur ton appliance avant correctif, pars du principe que la chaîne complète a pu l'être.
Mitigation
- Appliquer la version corrigée indiquée par Ivanti avant le 2 novembre, en couvrant les trois vulnérabilités de la chaîne.
- Lancer l'ICT et conserver les résultats.
- En cas d'anomalie : suivre la procédure de réponse d'Ivanti (réinitialisation ou reconstruction de l'appliance), puis faire tourner tous les secrets qu'elle détenait : comptes locaux, certificats, compte de liaison à l'annuaire, mots de passe des utilisateurs connectés pendant la période suspecte.
- Restreindre l'interface d'administration à un réseau de gestion.
- Limiter ce que l'appliance peut joindre en interne : un root sur la passerelle ne doit pas ouvrir tout le réseau.
Pourquoi surveiller en continu tes passerelles VPN
Une faille notée 7.0, locale et à complexité élevée, finit au KEV avec trois jours d'échéance parce qu'elle complète une chaîne. Un tri au seul score l'aurait laissée en bas de la pile. Ce qui compte, c'est de savoir vite qu'une CVE touche une version que tu exploites, et qu'elle est exploitée.
Avec cveo.tech, déclare tes appliances Connect Secure avec leur version exacte et reçois une alerte dès qu'une CVE qui les concerne entre au catalogue CISA KEV.