Sécurité · 1 novembre 2026
Également publié en Español
Deux nouvelles vulnérabilités découvertes dans Ivanti Connect Secure
Ivanti a révélé deux nouvelles vulnérabilités dans son produit d'accès à distance, Ivanti Connect Secure (ICS), qui ont été exploitées dans des attaques. Une attaque combinant trois vulnérabilités a été confirmée, et une mise à jour corrective est en cours de diffusion.
Le 29 octobre 2026, Ivanti a mis à jour un avis de sécurité publié le 13 octobre. En plus de la vulnérabilité d'évasion d'authentification déjà signalée, référencée comme « CVE-2026-104935 », la société a identifié deux autres vulnérabilités : « CVE-2026-111357 », qui concerne l'élévation de privilèges, et « CVE-2026-118527 », liée à l'upload de fichiers.
Selon Ivanti, des attaques utilisant ces trois vulnérabilités de manière séquentielle ont été observées, affectant certains clients. La société demande à ceux qui suspectent une compromission de suivre les procédures de récupération spécifiées.
La vulnérabilité « CVE-2026-111357 » permet une élévation de privilèges due à un manque d'authentification dans des fonctions critiques. Lorsqu'un utilisateur est authentifié localement, il peut élever ses privilèges. Son score de base sur le système d'évaluation des vulnérabilités communes, « CVSSv3.1 », est de « 8.8 » avec une gravité jugée « élevée (High) ».
En revanche, la vulnérabilité « CVE-2026-118527 » est due à l'utilisation de noms de fichiers prévisibles, permettant à un attaquant authentifié à distance de télécharger des fichiers contenant des contenus arbitraires dans des emplacements connus sur le disque. Son score de base « CVSSv3.0 » est de « 4.3 », avec une gravité « moyenne (Medium) ».