Un zero-day dans Ivanti Connect Secure exploité depuis début octobre : l'attaquant contourne l'outil de détection interne

Ivanti a révélé le 13 octobre 2026 qu'une vulnérabilité zero-day permettant de contourner l'authentification dans sa passerelle SSL VPN Connect Secure, référencée sous le nom CVE-2026-104935, est activement exploitée dans la nature — et que l'attaquant mène cette campagne depuis au moins le 1er octobre, soit près de deux semaines avant la publication de l'alerte publique. La faille touche les versions 22.8R2.4 et antérieures de Connect Secure (ICS), ainsi que la branche 25.1.x.

Ce que permet la vulnérabilité

Le bug permet à un attaquant distant non authentifié d'exécuter des commandes arbitraires sur l'appliance, sans aucune interaction utilisateur requise et avec une complexité d'attaque faible — une combinaison qui transforme une passerelle VPN exposée sur internet en véritable porte ouverte. La société de sécurité Volexity, qui a découvert et signalé la faille, suit le groupe l'exploitant sous le nom UTA0576. Selon Volexity, l'acteur n'a pas utilisé cette faille seule : il a chaîné CVE-2026-104935 avec deux failles supplémentaires afin d'obtenir une exécution de code non authentifiée au niveau root sur des équipements pourtant entièrement à jour.

Ivanti a publié des correctifs pour deux des trois vulnérabilités de cette chaîne. Une faille d'escalade de privilèges qui complète le chemin d'exploitation reste non corrigée au moment de la rédaction de cet article, ce qui signifie que le correctif disponible réduit la surface d'attaque sans la fermer entièrement.

Techniques anti-forensiques

Ce qui distingue cette campagne d'une exploitation VPN classique, c'est le travail d'évasion de l'attaquant. UTA0576 n'a déployé ni malware ni web shell — les artefacts habituellement recherchés par les défenseurs après une compromission. Volexity a plutôt observé l'acteur réexploiter l'équipement à chaque nouvelle commande qu'il souhaitait exécuter, tout en modifiant activement les journaux système pour effacer toute trace de son activité. Le groupe a également contourné l'Integrity Checker Tool d'Ivanti, l'utilitaire que les organisations sont invitées à exécuter pour confirmer que leur appliance n'a pas été altérée — ce qui signifie qu'un résultat clean de l'Integrity Checker sur un équipement compromis ne peut pas être considéré comme une preuve de sécurité.

Étendue de l'exposition

Le service de scan internet Shadowserver dénombre plus de 5 500 instances Connect Secure accessibles depuis l'internet public, bien qu'il soit difficile de savoir combien d'entre elles sont des leurres, des honeypots ou ont déjà été corrigées. Par ailleurs, le chercheur Defused a rapporté avoir détecté des signaux d'exploitation dès le 1er octobre, ce qui suggère que le véritable début de la campagne pourrait être antérieur à l'estimation du 3 octobre avancée par Volexity.

Ce que les organisations doivent faire

Ivanti presse les administrateurs de mettre à jour vers une version corrigée immédiatement et de considérer l'Integrity Checker Tool comme un signal parmi d'autres plutôt que comme une validation définitive, compte tenu de la capacité démontrée de l'attaquant à le contourner. La troisième composante de la chaîne d'exploitation restant non corrigée, les organisations qui utilisent Connect Secure doivent considérer qu'elles restent exposées même après avoir appliqué les correctifs disponibles, et devraient examiner leurs journaux et l'état de leurs équipements à la recherche de signes de compromission remontant à début octobre — et non pas seulement à partir de la date de divulgation.

Les passerelles VPN d'entreprise sont une cible récurrente tout au long de l'année 2026, précisément parce qu'elles se trouvent en périphérie du réseau avec un accès privilégié à tout ce qui se trouve derrière elles ; cet incident suit un schéma désormais familier d'acteurs liés à des États-nations ou à motivation financière qui chaînent plusieurs vulnérabilités pour contourner à la fois l'authentification et les propres outils de détection du fournisseur au cours d'une seule campagne.

Selon les informations publiées par BleepingComputer, sur la base des recherches de Volexity et de l'avis de sécurité officiel d'Ivanti.