Ivanti Connect Secure : avancez à la case patch

L'histoire est-elle sur le point de se répéter ? Début 2024, des vulnérabilités affectant Ivanti Connect Secure faisant près de 2000 victimes dans le monde, dont environ une centaine en France.

En tout début de semaine, Ivanti a alerté d'une vulnérabilité critique affectant ces systèmes de bordure. Référencée CVE-2026-104935, elle est assortie d'un niveau de sévérité de 8.6 sur 10, et touche les versions 22.8R2.4 et antérieures, 25.1.2.2 et précédentes, et 25.1.1.1 et plus anciennes. Exploitée avec succès, elle permet à un tiers non-authentifié d'exécuter des commandes arbitraires sur l'équipement compromis.

Ivanti a émis un correctif en juillet, mais il ne semble pas être suffisamment déployé. Selon Defused, l'exploitation active de cette vulnérabilité est effective depuis au moins le 1er octobre. Cette chronologie est confortée par les observations de Veloxity. Mais les assaillants se sont bien attachés à effacer leurs traces.

Veloxity explique ainsi avoir « identifié une série d'actions menées après l'exploitation par l'acteur malveillant, qui visaient les identifiants et les secrets d'Active Directory, notamment les mots de passe LAPS (Local Administrator Password Solution) et les clés de récupération BitLocker ».

Suivi sous la référence UTA0576, l'acteur impliqué « avait effacé toute trace de l’exploitation des journaux de débogage d’Ivanti et des journaux d’audit Linux », obligeant à recourir à une « analyse médico-légale [...] pour déterminer comment le dispositif VPN ICS avait été compromis ».

Autrement dit, l'attaquant a exploité la vulnérabilité, obtenu de quoi disposer d'un accès initial, tout cela sans laisser de trace visible susceptible de trahir ses activités. De quoi faire de nombreuses victimes en devenir qui s'ignorent. Et pour certaines peut-être, pour longtemps.

L'agence américaine de cybersécurité et de la sécurité des infrastructure (Cisa) recommande plus que vivement d'appliquer les correctifs disponibles ainsi que de procéder à une rotation des secrets susceptibles d'avoir été compromis à l'insu des organisations concernées.

Des milliers d'instances Ivanti Connect Secure sont exposées sur Internet, donc plusieurs centaines en France. Le spécialiste de la surface d'attaque exposée Onyphe sait désormais détecter la vulnérabilité CVE-2026-104935