Sécurité · 17 octobre 2026
CISA ordonne la correction urgente d'une faille Ivanti exploitée en zéro-day
L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a instruit les équipes de sécurité de corriger immédiatement une vulnérabilité critique d'Ivanti Connect Secure (ICS) exploitée en attaques zéro-day depuis au moins le 1er octobre. Suivi sous le numéro CVE-2026-104935, cette faille d'authentification haute gravité permet à des acteurs distants sans privilèges d'exécuter des commandes arbitraires sur les systèmes ICS ciblés dans des attaques de faible complexité ne nécessitant pas d'interaction utilisateur.
Ivanti a publié les versions 22.8R2.5, 25.1.3.0, 25.1.3.1 et 25.1.1.2 mardi pour corriger cette faille de sécurité et a mis en garde les clients de « agir immédiatement » en raison d'une « exploitation limitée dans la nature ».
Bien qu'Ivanti n'ait pas fourni d'informations supplémentaires sur les attaques ciblant la CVE-2026-104935, l'entreprise de cybersécurité Volexity a rapporté qu'un acteur inconnu qu'elle suit sous le nom d'UTA0576 enchaînait cette faille avec deux autres vulnérabilités depuis au moins le 3 octobre. Cette chaîne d'exploitation combinait une contournement d'authentification, une exécution à distance de code (RCE) et une élévation de privilèges pour atteindre une exécution de code root sans authentification. Les vulnérabilités RCE et contournement d'authentification sont suivies sous les numéros CVE-2026-104935, a indiqué Volexity.
Volexity a identifié une série d'actions post-exploitation menées par l'acteur ciblant les identifiants et secrets d'Active Directory, notamment les mots de passe du Local Administrator Password Solution (LAPS) et les clés de récupération BitLocker.
L'organisme de veille Shadowserver suit désormais plus de 5 600 hôtes Internet exposés avec des empreintes ICS. Cependant, aucune information n'indique combien sont sécurisés contre les attaques en cours ou combien sont des pièges à leurres conçus pour capturer des activités malveillantes.
CISA a ajouté la CVE-2026-104935 à sa liste des failles de sécurité activement exploitées et a ordonné aux agences fédérales de sécuriser leurs réseaux contre les attaques d'ici vendredi, conformément à sa directive opérationnelle contraignante n° 26-04 du juin. Bien que la directive BOD 26-04 s'applique uniquement aux agences du Branche exécutive civile fédérale (FCEB), l'agence de cybersécurité a également émis un avis séparé instamment instruit toutes les équipes de sécurité et tous les défenseurs de réseau de corriger cette vulnérabilité immédiatement et de vérifier les preuves de compromission.
« CISA est conscient d'acteurs de menaces exploitant cette vulnérabilité d'authentification zéro-day qui permet l'exécution à distance et sans authentification de commandes arbitraires, afin de mener au vol d'identifiants et à l'exfiltration de données », a-t-il averti.
« Les organisations cherchant à déterminer si elles ont été compromises devront mener des analyses forensiques de réseau et de mémoire pour identifier des preuves d'exploitation. [..] L'outil Integrity Checker d'Ivanti ne détectera peut-être pas de preuves d'exploitation de la CVE-2026-104935 car les commandes des acteurs de menaces s'exécutent en mémoire ».
CISA a conseillé aux défenseurs d'effectuer les actions suivantes s'ils découvrent des appliances Ivanti ICS compromises : Ivanti a corrigé plusieurs autres zéro-day de Connect Secure exploités dans la nature au cours des dernières années, notamment un contournement d'authentification (CVE-2023-46805) et une injection de commande (CVE-2024-21887) en janvier 2024, et une demande côté serveur pour une requête falsifiée (CVE-2024-21893) deux semaines plus tard. Plus récemment, il a corrigé une faille d'exécution à distance de code (RCE) (CVE-2025-0282) en janvier 2025 et une autre vulnérabilité RCE (CVE-2025-22457) exploitée par des espions cybers chinois depuis au moins mi-mars 2025.
CISA a ajouté 36 vulnérabilités Ivanti à sa liste des problèmes de sécurité activement exploités depuis novembre 2021, dont 12 ont également été abusés dans des attaques de rançongiciel.