Ivanti Connect Secure : nouvelle faille exploitée, l'alerte du CERT-FR
CVE-2026-104935 est activement exploitée sur les passerelles VPN Ivanti Connect Secure. Versions touchées et recommandations du CERT-FR, étape par étape.
Les passerelles VPN Ivanti Connect Secure sont de nouveau visées. Le 13 octobre, Ivanti a publié un avis pour la vulnérabilité CVE-2026-104935, qu'il indique activement exploitée. Le CERT-FR a émis dès le lendemain une alerte, CERTFR-2026-ALE-013, et non un simple avis.
Une passerelle VPN est la porte d'entrée de vos collaborateurs à distance. Compromise, elle devient celle d'un attaquant.
Les risques
Selon le CERT-FR, la vulnérabilité permet :
- un contournement de la politique de sécurité
- une exécution de code arbitraire à distance
- une élévation de privilèges
Les versions concernées
- Connect Secure 22.8Rx, avant 22.8R2.5
- Connect Secure 25.1.1.x, avant 25.1.1.2
- Connect Secure 25.1.3.x, avant 25.1.3.1
Reportez-vous à l'avis d'Ivanti pour la version corrigée adaptée à votre branche.
Ce que recommande le CERT-FR
L'alerte ne se limite pas à « appliquer le correctif ». Comme l'exploitation est avérée, elle part du principe que l'équipement a pu être compromis. Dans l'ordre :
- Isoler complètement l'équipement d'Internet et du réseau interne, pour limiter les déplacements latéraux.
- Préserver les traces : pour une appliance virtuelle, réaliser des instantanés du système de fichiers et de la mémoire ; éviter si possible d'éteindre l'équipement ; mettre les journaux en lieu sûr.
- Rechercher une compromission à l'aide des indicateurs publiés par Volexity et de l'outil de vérification d'intégrité externe d'Ivanti (qui nécessite un accès physique et peut interrompre le service).
Si une compromission est suspectée ou confirmée
Le CERT-FR demande de déclarer l'incident, de réinitialiser l'équipement aux paramètres d'usine, de le mettre à jour, puis de considérer comme compromis tous les secrets qu'il contenait ou qui l'ont traversé en clair. Concrètement :
- les secrets du compte de service LDAP ou Active Directory, si l'équipement y est relié : le CERT-FR a connaissance de déplacements latéraux utilisant ces secrets
- tous les certificats présents sur l'équipement, à révoquer et réémettre
- le mot de passe d'administration, les clés d'API et les mots de passe des comptes locaux
- les jetons d'authentification des comptes de service utilisés
Il faut ensuite rechercher des traces de déplacement latéral : connexions de l'équipement vers Internet, et autres machines ayant contacté les mêmes adresses.
Si aucune compromission n'est détectée
Mettez à jour dès que le correctif est disponible pour votre version. À défaut, l'équipement reste exposé : contactez le support Ivanti, déconnectez-le d'Internet si possible, et surveillez de près l'activité des comptes liés, en particulier le compte de service LDAP ou Active Directory.
Notre regard
Ce n'est pas la première fois que les passerelles Ivanti sont ciblées, et l'alerte du CERT-FR illustre une leçon importante : face à une faille exploitée sur un équipement de bordure, corriger ne suffit pas. Un attaquant passé avant le correctif peut avoir récupéré les identifiants du compte relié à l'annuaire, et donc garder un accès au cœur du système d'information.
La question à se poser n'est pas seulement « sommes-nous à jour ? », mais « sommes-nous certains que personne n'est entré avant ? ».
Vous exploitez une passerelle Ivanti et vous avez besoin d'une recherche de compromission ou d'un accompagnement à la réponse à incident ? Contactez nos experts.