Ivanti alerte sur une faille zéro-day exploitée dans Connect Secure

Des acteurs de menace distants, sans privilèges, peuvent exploiter cette faille dans des attaques de faible complexité qui ne nécessitent pas d'interaction utilisateur pour exécuter des commandes arbitraires sur les appliances ciblées.

"Au moment de la divulgation, Ivanti est conscient d'une exploitation limitée dans la nature. Nous travaillons directement avec ces organisations tout en rendant disponible des informations, des mises à jour et des correctifs à la communauté clientèle plus large. Si vous exécutez l'une des versions impactées, Ivanti recommande d'agir immédiatement", a déclaré Ivanti.

"Les clients doivent consulter l'avis de sécurité, mettre à jour vers la version corrigée dès que possible, et exécuter régulièrement l'outil Integrity Checker", a-t-il ajouté.

L'observateur de menaces Internet Shadowserver suit désormais plus de 5 500 instances d'ICS exposées en ligne, mais aucune information n'indique combien sont des pièges à loup ou ont déjà été sécurisés contre les attaques en cours.

Exploitée depuis au moins le 1er octobre

L'entreprise de cybersécurité Volexity, qui a découvert et signalé la faille, a révélé plus tôt aujourd'hui qu'un acteur de menace inconnu, suivi sous le nom UTA0576, a exploité la vulnérabilité CVE-2026-104935 depuis au moins le 3 octobre en la combinant avec deux autres failles pour obtenir une exécution de code non authentifiée au niveau racine sur des appareils entièrement corrigés.

"Notamment, l'acteur de menace UTA0576 n'a pas déployé de logiciel malveillant ni de web shell. Au contraire, cet acteur a réexploité l'appareil pour chaque commande exécutée et a manipulé les journaux pour couvrir ses traces, contournant ainsi l'outil Integrity Checker d'Ivanti", a indiqué Volexity.

Bien qu'Ivanti ait corrigé deux failles, il travaille toujours à résoudre une vulnérabilité d'escalade de privilèges exploitée par UTA0576 dans la même chaîne.

L'entreprise de renseignement menaces Defused a également confirmé le rapport de Volexity, affirmant avoir détecté les premiers signes d'exploitation de CVE-2026-104935 dans la nature dès le 1er octobre.

Les pirates ont fréquemment exploité les vulnérabilités Ivanti, souvent en tant que zéro-day, car elles offrent un moyen rapide d'accéder aux réseaux d'entreprise et de voler des données sensibles clients et corporatives.

Ivanti a également corrigé plusieurs autres zéro-day de Connect Secure exploités dans la nature au cours des dernières années, certains d'entre eux étant chaînés dans des attaques généralisées pour déployer des logiciels malveillants.

Il a corrigé une authentification contournée (CVE-2023-46805) et une injection de commande (CVE-2024-21887) en janvier 2024, et une falsification de requête côté serveur (CVE-2024-21893) deux semaines plus tard.

Plus récemment, il a corrigé une vulnérabilité d'exécution de code à distance (RCE) suivie sous l'identifiant CVE-2025-0282 en janvier 2025 et une seconde faille RCE (CVE-2025-22457) exploitée par des espions cybers chinois depuis au moins mi-mars 2025.

L'Agence de sécurité des infrastructures et de la sécurité (CISA) a signalé 36 vulnérabilités à travers divers produits Ivanti comme exploitées activement dans la nature depuis novembre 2021, dont 12 ont également été abusées par des gangs de rançongiciels.

Ivanti compte plus de 3 000 employés, un réseau de plus de 7 000 partenaires et plus de 40 000 clients dans le monde utilisant ses solutions de gestion d'actifs informatiques.

Une fois que les attaquants disposent de credentials valides, seulement 37 % de leurs actions sont bloquées

Les scores globaux de prévention peuvent masquer ce qui se passe après l'accès initial. Une fois que les attaquants utilisent des credentials valides, la prévention chute considérablement.

Le Blue Report 2026 mesure les défenses technique par technique à travers 338 millions de simulations exécutées dans les environnements de production clients.