En bref
- Ivanti et la CISA confirment l’exploitation de CVE-2026-104935, un contournement d’authentification permettant l’exécution de commandes à distance.
- La chaîne observée par Volexity travaillait surtout en mémoire, relançait l’exploit pour chaque commande et supprimait une partie de ses traces.
- Une vérification d’intégrité sans alerte ne suffit donc pas : les organisations exposées doivent aussi préserver et examiner la mémoire, le réseau et les journaux disponibles.
Une passerelle VPN corrigée dans plusieurs branches
Le 13 octobre 2026, Ivanti a divulgué CVE-2026-104935 dans Connect Secure (ICS), sa passerelle VPN d’accès distant, et a confirmé une exploitation dans la nature touchant, selon ses termes, « un nombre limité de clients ». CISA a ajouté la faille à son catalogue KEV le même jour. Le score fournisseur est de 8,6 sur 10, niveau élevé. La faiblesse est classée CWE-290, contournement d’authentification par usurpation. Son vecteur indique une attaque par le réseau, de faible complexité, sans privilège préalable ni interaction de l’utilisateur.
Le périmètre officiellement affecté couvre Connect Secure 25.1.1.1 et versions antérieures de cette branche, 25.1.2.2 et antérieures, ainsi que 22.8R2.4 et antérieures. Les versions de résolution listées par Ivanti sont 25.1.1.2, 25.1.3.0, 25.1.3.1 et 22.8R2.5. Le dossier CVE précise que 22.7R2.14 et les versions antérieures ne sont pas touchées. Ivanti recommande toutefois aux clients 22.8.x de migrer vers 25.1.1.2 ou une version ultérieure ; 22.8R2.5, publié le 12 octobre, sert de solution si la migration immédiate est impossible. Les branches 22.7 et 22.8 arrivent en fin de vie le 31 janvier 2027.
Une requête publique détournée vers un composant protégé
Techniquement, l’avis Ivanti résume CVE-2026-104935 comme un contournement d’authentification permettant à un attaquant distant non authentifié d’exécuter des commandes arbitraires. L’analyse de Volexity décrit le mécanisme observé : une requête autorisée vers la page publique /dana-na/auth/url_default/welcome.cgi contient un en-tête X-DSCGI-PATH désignant le script protégé wu.cgi. L’appliance décide l’autorisation d’après l’URL, mais route la requête d’après l’en-tête. L’attaquant atteint ainsi un gestionnaire qui écrit un fichier téléversé avant d’en contrôler le format ZIP, puis profite d’une courte condition de course pour l’exécuter avant sa suppression.
Volexity présente en réalité une chaîne de trois zero-days. Le contournement d’authentification et le composant d’écriture/exécution distante sont regroupés sous CVE-2026-104935. Une troisième faiblesse, distincte, élève ensuite les privilèges jusqu’à root : le code malveillant modifie en mémoire la copie d’une bibliothèque du processus cgi-server, altère temporairement une tâche dans le magasin DSCache, puis pousse le service privilégié dsinvoked à lancer un script. Au 14 octobre, Ivanti annonçait un correctif de cette élévation de privilèges pour une future version ; aucun identifiant CVE public n’était donné dans les sources consultées.
Une exploitation observée depuis le début du mois
La chronologie établie par Volexity commence le 3 octobre 2026, date à partir de laquelle UTA0576 aurait exploité la chaîne à plusieurs reprises. Le 5 octobre, la société a ouvert une investigation chez un client de surveillance réseau et identifié comme origine une appliance 22.8R2.4 build 19097, alors entièrement à jour. Ivanti explique avoir déjà corrigé une partie du problème dans 25.1.3.0, publiée en juillet, et travailler au rétroportage vers les autres branches prises en charge lorsque l’exploitation est survenue. Le 13 octobre, Ivanti publie l’avis et les versions corrigées ; CISA diffuse son alerte et inscrit la CVE au KEV avec échéance fédérale au 16 octobre.
Dans le cas documenté, l’opérateur a ciblé des secrets et l’environnement Active Directory : identifiants de domaine utilisés avec LDAP, mots de passe LAPS, clés de récupération BitLocker et attributs susceptibles de contenir des mots de passe. Volexity rapporte aussi une exfiltration limitée de métadonnées Active Directory, de la reconnaissance DNS et hôte, du password spraying, l’examen des journaux d’authentification et la capture de trafic LDAP. CISA confirme plus largement que la zero-day a servi au vol d’identifiants et à l’exfiltration de données. Ces observations concernent une investigation précise et ne démontrent ni le nombre total de victimes, ni que chaque exploitation a produit les mêmes effets.
Pourquoi un contrôle d’intégrité propre ne suffit pas
La furtivité change la réponse à incident. Volexity n’a observé ni porte dérobée ni web shell de premier niveau : l’acteur relançait la chaîne pour chaque commande et renvoyait les résultats dans les réponses HTTPS. Le code Python principal s’exécutait en mémoire ; l’exploit restaurait les éléments modifiés et supprimait des entrées des journaux Ivanti et Linux. CISA avertit donc que l’Integrity Checker Tool peut ne rien voir. Un résultat ICT propre ne suffit pas à exclure une compromission : la recherche doit inclure la mémoire, le réseau et les artefacts volatils, avec préservation des preuves avant toute réinitialisation.
La mesure prioritaire est l’installation immédiate d’une version corrigée correspondant à la branche et au matériel. Pour une migration vers 25.1.3.0, Ivanti exige la nouvelle plateforme ISA4500, ISA6500 ou ISA8500 ; les environnements virtuels ou cloud doivent être recréés depuis le modèle 25.1.3.0. En cas de soupçon de compromission, CISA reprend la procédure Ivanti : sauvegarder la configuration, réinitialiser l’appliance aux paramètres d’usine et la mettre à niveau ; reconstruire l’instance si elle est virtuelle ou cloud ; restaurer la configuration ; changer tous les mots de passe, dont comptes de domaine, administrateur et locaux ; révoquer et réémettre les certificats ; renouveler les clés API et identifiants du serveur de licences.
Détecter sans extrapoler l’attribution
Pour la détection, Volexity conseille de rechercher un volume inhabituel de requêtes vers /dana-na/auth/url_default/welcome.cgi, les discordances entre le chemin URL et X-DSCGI-PATH, ainsi que les artefacts laissés dans /tmp/. Les chemins observés incluent wu.cgi et /home/runtime/tmp/<MD5(filename)>. L’entreprise publie aussi des indicateurs et des règles YARA. Il faut les traiter comme des pistes, non comme une liste exhaustive : Ivanti disait disposer de peu d’indicateurs au moment de la divulgation, et la chaîne observée est précisément conçue pour réduire les traces persistantes.
L’attribution doit rester prudente. Volexity nomme l’opérateur inconnu UTA0576, simple désignation de suivi, et n’établit aucun lien public avec un État ou un groupe connu. Sa préférence pour une motivation criminelle plutôt que d’espionnage n’est évaluée qu’avec une faible confiance ; l’objectif final demeure inconnu, l’opération ayant été détectée et interrompue. De même, la présence d’appliances Connect Secure exposées sur Internet ne vaut pas preuve qu’elles utilisent une version vulnérable ou qu’elles ont été compromises. L’article doit donc s’en tenir à l’exploitation confirmée, aux actes observés et aux mesures vérifiables.
Ce qui reste à confirmer
Ivanti ne publie ni le nombre exact, ni l’identité, ni le secteur, ni la localisation des clients concernés par l’« exploitation limitée ». UTA0576 est une étiquette de suivi Volexity, pas une attribution à un groupe connu. L’hypothèse d’une motivation criminelle n’est formulée qu’avec une faible confiance ; l’objectif final reste inconnu. La vulnérabilité d’élévation de privilèges chaînée à CVE-2026-104935 n’avait pas d’identifiant CVE public et restait annoncée pour un correctif futur au 14 octobre 2026. Les actions post-exploitation détaillées par Volexity proviennent d’un cas investigué ; elles ne doivent pas être généralisées à toutes les exploitations.