Le correctif du 13 octobre suffit-il ?

Il ferme la porte d'entrée, pas toute la chaîne. Selon Volexity, CVE-2026-104935 regroupe le contournement d'authentification et l'écriture de fichier qui mènent à l'exécution de code ; une troisième faille, une élévation de privilèges vers root dans le service dsinvoked, n'a pas encore de correctif et doit l'être dans une version future. Le correctif reste urgent : sans porte d'entrée, l'élévation n'est plus atteignable de l'extérieur.

Pourquoi l'Integrity Checker Tool ne détecte-t-il rien ?

Parce que la chaîne modifie le code des bibliothèques uniquement en mémoire et restaure les données de configuration qu'elle change. La CISA écrit que l'outil d'Ivanti peut ne pas détecter l'exploitation, puisque les commandes de l'attaquant s'exécutent en mémoire. Un résultat propre de l'outil ne prouve donc pas l'absence de compromission.

Que faire en cas de doute ?

La CISA recommande une investigation réseau et mémoire, puis, si une compromission est soupçonnée, de sauvegarder la configuration, réinitialiser l'appareil aux paramètres d'usine et le mettre à niveau. Il faut aussi changer les mots de passe de tous les comptes, y compris ceux du domaine, révoquer et réémettre les certificats stockés et renouveler les clés d'API.

Analyse · Exposition

Ivanti Connect Secure : ce que l'outil d'intégrité rate

Depuis le 3 octobre 2026, une chaîne de failles donne root sur Ivanti Connect Secure, en mémoire. Correctif du 13 octobre, faille encore ouverte, quoi chercher.

Par Sentrix · Publié le 2026-10-14

Le 13 octobre 2026, Volexity a publié l'analyse d'une chaîne de trois failles exploitée contre des passerelles VPN Ivanti Connect Secure depuis le 3 octobre. Le même jour, Ivanti a corrigé la porte d'entrée et la CISA a inscrit CVE-2026-104935 à son catalogue KEV. Deux détails rendent ce cas inhabituel : l'outil de vérification d'Ivanti ne voit rien, et une des trois failles reste ouverte.

Ce que disent les sources

Volexity (13 octobre). L'attaquant, suivi sous le nom UTA0576, a exploité à répétition ces failles à partir du 3 octobre 2026. La chaîne enchaîne un contournement d'authentification dans welcome.cgi, une écriture de fichier par une condition de concurrence dans wu.cgi, toutes deux suivies sous CVE-2026-104935, puis une élévation de privilèges vers root dans le service dsinvoked. Volexity écrit que l'Integrity Checker Tool d'Ivanti « does not detect any modifications », car la chaîne modifie le code en mémoire et restaure la configuration.

Après l'intrusion, l'attaquant a extrait les identifiants stockés, dont ceux du domaine utilisés pour LDAP, interrogé l'Active Directory à la recherche de mots de passe LAPS et de clés de récupération BitLocker, capturé le trafic LDAP avec un tcpdump renommé, puis tenté d'effacer ses traces dans les journaux.

La CISA (13 octobre). L'agence décrit une « zero-day authentication bypass vulnerability » et liste les versions touchées : 25.1.1.1 et antérieures, 25.1.2.2 et antérieures, 22.8R2.4 et antérieures. Elle avertit que l'outil d'intégrité « may not detect evidence of exploitation of CVE-2026-104935 because threat actor commands execute in memory ». Elle rappelle aussi que la version 22.8 arrive en fin de vie le 31 janvier 2027.

Le catalogue KEV. CVE-2026-104935 y est inscrite depuis le 13 octobre, avec une échéance au 16 octobre pour les agences fédérales américaines.

Pourquoi ça compte

Une passerelle VPN est l'endroit où l'organisation fait le plus confiance : elle détient des comptes de service du domaine, voit passer les authentifications et ouvre le réseau interne. Ici, l'attaquant ne cherchait pas la passerelle : il cherchait l'Active Directory derrière elle.

Le second enseignement porte sur la preuve. Beaucoup d'équipes ferment un incident Ivanti sur un résultat vert de l'outil d'intégrité. Ce cas montre qu'un résultat vert ne vaut rien quand l'attaque ne laisse aucune trace sur le disque. La seule réponse sûre suppose la compromission et agit sur ce que l'attaquant a pu voir : les identifiants.

Ce que nous en pensons chez Sentrix

Corriger tout de suite, sur chaque passerelle, et suivre l'annonce du correctif de l'élévation de privilèges, encore attendu.
Chercher, ne pas supposer. Volexity indique quoi surveiller : un volume élevé de requêtes vers /dana-na/auth/url_default/welcome.cgi avec des en-têtes X-DSCGI-PATH incohérents, et des traces dans /tmp/. Notre service de réponse aux incidents prend le relais si vous trouvez quelque chose.
Changer les identifiants que la passerelle connaît : comptes de service LDAP, administrateurs, certificats, clés d'API. C'est la recommandation de la CISA, et c'est là que l'attaquant est allé.
Planifier la sortie de la branche 22.8, en fin de vie le 31 janvier 2027, avec une date au registre des risques.
Tenir l'inventaire des équipements de bordure, version par version. C'est la base du module CTEM d'exposition continue, et la même leçon que NetScaler la semaine précédente.

Pour un MSP ou un MSSP, la passerelle d'un client est souvent reliée à son annuaire par un compte de service à privilèges élevés. Faites tourner ces mots de passe chez chaque client touché, et tracez la rotation client par client.

La prochaine étape

Listez vos passerelles Ivanti Connect Secure avec leur version et la date du correctif. Pour chacune, notez quel compte du domaine elle utilise et quand son mot de passe a été changé pour la dernière fois. Si vous voulez faire cette vérification avec nous, contactez-nous.

Sources

Questions fréquentes

Le correctif du 13 octobre suffit-il ?: Il ferme la porte d'entrée, pas toute la chaîne. Selon Volexity, CVE-2026-104935 regroupe le contournement d'authentification et l'écriture de fichier qui mènent à l'exécution de code ; une troisième faille, une élévation de privilèges vers root dans le service dsinvoked, n'a pas encore de correctif et doit l'être dans une version future. Le correctif reste urgent : sans porte d'entrée, l'élévation n'est plus atteignable de l'extérieur.
Pourquoi l'Integrity Checker Tool ne détecte-t-il rien ?: Parce que la chaîne modifie le code des bibliothèques uniquement en mémoire et restaure les données de configuration qu'elle change. La CISA écrit que l'outil d'Ivanti peut ne pas détecter l'exploitation, puisque les commandes de l'attaquant s'exécutent en mémoire. Un résultat propre de l'outil ne prouve donc pas l'absence de compromission.
Que faire en cas de doute ?: La CISA recommande une investigation réseau et mémoire, puis, si une compromission est soupçonnée, de sauvegarder la configuration, réinitialiser l'appareil aux paramètres d'usine et le mettre à niveau. Il faut aussi changer les mots de passe de tous les comptes, y compris ceux du domaine, révoquer et réémettre les certificats stockés et renouveler les clés d'API.

Parlons de votre programme de conformité.

Nous contacter