Le 13 octobre, Ivanti a révélé que des attaquants avaient exploité une faille de contournement d’authentification dans Connect Secure, sa passerelle VPN d’accès distant. CVE-2026-104935 permet à un attaquant distant non authentifié d’exécuter des commandes sur les versions concernées. Ivanti parle d’un nombre limité de clients; les informations de Volexity et de médias indépendants précisent l’activité observée et une autre faille, encore sans correctif au moment du signalement.
La faille divulguée et les versions concernées
La fiche CVE décrit CVE-2026-104935 comme un contournement d’authentification dans Ivanti Connect Secure. Elle touche certaines versions 22.8 et 25.1 antérieures aux correctifs d’octobre; l’avis Ivanti donne les versions vulnérables et corrigées exactes. L’éditeur précise que 22.7R2.14 et les versions antérieures ne sont pas affectées par ce CVE. Comparez le numéro de build installé au tableau du fournisseur, sans déduire l’exposition du seul nom du produit.
Ce que les enquêteurs ont observé
Volexity rapporte des signes d’exploitation à partir du 3 octobre et suit l’activité d’un acteur qu’il nomme UTA0576. Son enquête décrit trois failles zero-day enchaînées pour obtenir un accès root non authentifié sur une passerelle pourtant à jour. Ivanti a corrigé deux problèmes lors de la divulgation; la troisième faille d’élévation de privilèges attendait encore un correctif. Cette chaîne plus large ne doit pas être attribuée au seul CVE-2026-104935.
Pourquoi cette passerelle est sensible
Connect Secure fournit un accès distant aux ressources de l’entreprise. Volexity rapporte que l’acteur observé a recherché des identifiants de domaine, récupéré des métadonnées limitées d’Active Directory, effectué de la reconnaissance et modifié des journaux. Ce sont des éléments de cette enquête, pas la preuve que chaque passerelle vulnérable a subi les mêmes actions ou que tous les clients sont touchés.
Corriger, puis examiner l’exposition
Installez la version corrigée indiquée par Ivanti pour votre branche et confirmez que la passerelle l’exécute. Vérifiez également les équipements de haute disponibilité. Si l’appliance était accessible depuis Internet pendant sa période vulnérable, préservez les journaux disponibles et examinez les connexions, les changements de configuration et les flux réseau. Volexity explique que l’acteur pouvait contourner l’Integrity Checker en réexécutant les commandes par la faille et en modifiant les journaux; en présence de signaux de ciblage, un résultat isolé du vérificateur ne clôt donc pas l’analyse.
Le lien avec Soclyde
Une passerelle VPN exposée peut mettre en jeu les identifiants utilisés pour l’accès distant et les services internes. Soclyde peut aider les équipes à distinguer ces secrets et à les partager avec les collègues autorisés, mais ne corrige pas une appliance Ivanti et ne permet pas de déterminer si elle a été compromise. Le guide du générateur de mots de passe sécurisé explique comment éviter la réutilisation d’un même mot de passe.
À retenir
Ivanti a confirmé l’exploitation de CVE-2026-104935 et publié des correctifs le 13 octobre. Mettez à jour la branche concernée, puis examinez l’activité réseau si la passerelle a pu être ciblée. Le guide du générateur de mots de passe sécurisé traite d’une mesure complémentaire de gestion des identifiants.
