La faille Ivanti Connect Secure exploitée depuis début octobre n’est pas une vulnérabilité isolée, mais une chaîne de trois failles qui donne un accès root sans identifiant au boîtier VPN. Si votre entreprise utilise Ivanti Connect Secure pour l’accès distant, installez la version 22.8R2.6 ou 25.1.1.3 et cherchez des traces de compromission : le premier correctif publié mi-octobre ne suffit plus.
Trois failles Ivanti enchaînées pour prendre le contrôle du VPN
Volexity a documenté le 13 octobre une campagne d’un acteur baptisé UTA0576, qui compromettait des boîtiers Ivanti Connect Secure pourtant à jour. Le premier maillon, CVE-2026-104935 (CVSS 8,6), contourne l’authentification et permet d’exécuter du code à distance ; la CISA l’a ajouté à son catalogue des vulnérabilités activement exploitées le jour même.
Le 30 octobre, la CISA a ajouté les deux maillons restants : CVE-2026-111357 (CVSS 8,8), une absence de contrôle d’authentification sur une fonction critique qui permet l’élévation de privilèges, et CVE-2026-118527 (CVSS 4,3), un identifiant prévisible qui permet de déposer un fichier malveillant à un emplacement connu du système.
Prise isolément, une faille notée 4,3 n’inquiète personne. Enchaînées, ces trois vulnérabilités transforment une requête anonyme venue d’Internet en accès root sur l’équipement qui contrôle l’entrée de tout votre réseau. Une faille de VPN se juge donc à ce qu’elle permet en combinaison, pas à son score seul.
Pourquoi le correctif Ivanti de mi-octobre ne suffit plus
Ivanti a choisi de publier d’abord le correctif de CVE-2026-104935, déjà en phase de test, pour couper le chemin d’attaque principal, puis de compléter son avis de sécurité quand l’élévation de privilèges a été identifiée. Conséquence concrète : un boîtier mis à jour mi-octobre peut rester exposé aux deux autres maillons.
Les versions qui corrigent l’ensemble de la chaîne sont les suivantes :
- branche 25.1 (version 25.1.1.2 et antérieures) : passer en 25.1.1.3 ;
- branche 22.8 (version 22.8R2.5 et antérieures) : passer en 22.8R2.6.
La CISA impose aux agences fédérales américaines de corriger CVE-2026-111357 avant le 2 novembre et CVE-2026-118527 avant le 13 novembre, selon Security Affairs. Ce calendrier donne la mesure de l’urgence, y compris pour une entreprise française qui n’est pas soumise à cette obligation.
Ce que font les attaquants une fois dans le boîtier VPN
Le VPN n’est pas la cible finale. Selon Volexity, après la prise de contrôle, les attaquants ont visé les identifiants Active Directory et des données sensibles comme les mots de passe LAPS et les clés de récupération BitLocker. L’équipement d’accès distant sert de tremplin vers l’annuaire, puis vers les postes et les serveurs.
Volexity recommande une investigation approfondie de tout boîtier qui présente des signes de compromission, par exemple des tentatives de mouvement latéral parties de l’adresse interne du VPN lui-même. Un boîtier corrigé après avoir été compromis reste compromis : la mise à jour ferme la porte, elle ne chasse pas un intrus déjà entré.
Pour une PME, le scénario le plus probable n’est pas une attaque ciblée par un acteur étatique, mais la reprise de la chaîne par des groupes criminels dans les semaines qui suivent sa publication. C’est le schéma déjà observé sur les précédentes failles d’équipements de bordure : une fois la technique documentée, les scans de masse suivent.
Que faire maintenant
- Identifiez la version exacte de chacun de vos boîtiers Ivanti Connect Secure depuis la console d’administration, y compris les équipements de secours ou de sites distants.
- Appliquez la version 25.1.1.3 ou 22.8R2.6 selon votre branche, même si vous avez déjà installé le correctif de mi-octobre.
- Restreignez l’accès à l’interface d’administration du boîtier à un réseau de gestion interne, jamais depuis Internet.
- Vérifiez les journaux du VPN et de l’Active Directory depuis le 1er octobre : connexions inhabituelles depuis l’adresse interne du boîtier, lectures des mots de passe LAPS, consultations des clés BitLocker.
- Renouvelez les mots de passe des comptes de service liés au VPN et les mots de passe LAPS au moindre doute, puis faites examiner le boîtier par un prestataire de réponse à incident.
Une chaîne d’exploitation sur un VPN se repère surtout par ses effets sur l’annuaire et les postes : c’est précisément ce que surveille notre SOC managé 24/7 pour PME et ETI.
Pour aller plus loin, notre méthode pour vérifier un pare-feu ou un VPN compromis en 7 étapes détaille les contrôles après incident, et notre comparatif VPN ou ZTNA pour le télétravail aide à réduire l’exposition de ces équipements.
Ce qu’il faut retenir
- La faille Ivanti Connect Secure exploitée est une chaîne de trois vulnérabilités menant à un accès root sans authentification.
- Le correctif de mi-octobre ne couvre pas toute la chaîne : seules les versions 25.1.1.3 et 22.8R2.6 la corrigent.
- Les attaquants visent ensuite l’Active Directory, les mots de passe LAPS et les clés BitLocker.
- Un boîtier corrigé après compromission doit quand même être examiné.
Sources
- Ivanti — Security Advisory Ivanti Connect Secure (CVE-2026-104935, CVE-2026-111357, CVE-2026-118527)
- Volexity — Chained exploitation of Ivanti Connect Secure zero-days
- CISA — CISA Adds Two Known Exploited Vulnerabilities to Catalog (30 octobre 2026)
- CISA — Known Exploited Vulnerabilities Catalog
- Security Affairs — CISA adds Ivanti Connect Secure flaws to its KEV catalog