Analyse éditoriale · Sources primaires
La chaîne zero-day Ivanti Connect Secure transforme la compromission de la passerelle en crise d’identité
L’exploitation confirmée d’une faille zero-day Ivanti Connect Secure a permis le vol d’identifiants, l’exfiltration de données et l’accès à des secrets de récupération; corriger est urgent, mais ne prouve pas qu’un équipement est sain.
Chronologie confirmée
Volexity a observé l’exploitation à partir du 3 octobre 2026 contre un équipement alors entièrement à jour et a commencé son enquête le 5 octobre. Le 13 octobre, Ivanti a coordonné un correctif et CISA a signalé l’exploitation active de CVE-2026-104935, un contournement de l’authentification permettant l’exécution de commandes sans authentification [1][2]. La fiche CVE indique comme corrigées les versions 25.1.3.0, 25.1.3.1 et 22.8R2.5; 22.7R2.14 et antérieures sont données comme non affectées [3].
Intrusion observée
Il s’agit d’une chaîne d’intrusion confirmée, et pas seulement d’un avis de vulnérabilité. Volexity a constaté que le contournement et l’exécution de code à distance étaient chaînés avec une autre faille locale d’élévation de privilèges. L’acteur a obtenu des identifiants de domaine, des métadonnées Active Directory, des mots de passe LAPS, des clés de récupération BitLocker et des données d’authentification de l’équipement, puis a mené une pulvérisation de mots de passe et une reconnaissance réseau [2]. Les informations publiques ne déterminent pas le nombre d’organisations compromises.
Mission et exposition
Une passerelle d’accès exposée à Internet est un point d’ancrage de confiance. Sa compromission peut s’étendre de l’accès distant à l’identité d’entreprise, à l’administration des terminaux et aux processus de récupération, menaçant la continuité même après correction. Les responsables doivent identifier les versions exposées, examiner l’activité au moins depuis le 3 octobre et évaluer l’utilisation en aval des comptes de liaison d’annuaire, des sessions privilégiées, de LAPS et des clés de récupération.
Priorités de réponse
Passez immédiatement à une version corrigée, sans assimiler l’application du correctif à un confinement. Préservez les preuves; isolez ou reconstruisez les équipements suspects; révoquez sessions et jetons; renouvelez les identifiants de l’équipement, d’administration, de liaison LDAP et autres secrets exposés; puis réévaluez les secrets LAPS et BitLocker selon les preuves. Utilisez une télémétrie indépendante du réseau, de l’identité, des terminaux et de la mémoire, car Volexity a observé la suppression de journaux et averti que le contrôle d’intégrité de l’équipement peut ne pas détecter fiablement la compromission [2].
Gouvernance et inconnues
Attribuez une responsabilité exécutive commune aux équipes sécurité, identité, infrastructure, continuité et juridique. Exigez une journalisation indépendante pour les équipements périmétriques, des procédures éprouvées de collecte de preuves et des échéances de cycle de vie pour les versions non prises en charge. L’attribution, le nombre total de victimes, les objectifs finaux et la diffusion de la chaîne complète restent non vérifiés. La confiance est élevée pour l’exploitation et les actions observées après compromission, mais limitée pour la portée globale.
Sources
- CISA, CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure, 13 October 2026 (accessed 14 October 2026)
- Volexity, A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days, 13 October 2026 (accessed 14 October 2026)
- CVE Program, CVE-2026-104935 record, published and updated 13 October 2026 (accessed 14 October 2026)
- HKCERT, Ivanti Connect Secure Remote Code Execution Vulnerability, 14 October 2026 (accessed 14 October 2026)