En bref
- Le fait. Le 13 octobre 2026, Ivanti a publié un avis sur la faille CVE-2026-104935 de sa passerelle VPN Ivanti Connect Secure, qu'il indique activement exploitée. Un attaquant non authentifié peut contourner l'authentification et exécuter des commandes. La CISA l'a ajoutée au catalogue KEV le jour même, et le CERT-FR a publié l'alerte CERTFR-2026-ALE-013 le 14 octobre 2026. Source : alerte du CERT-FR.
- Êtes-vous concerné ? Si votre entreprise utilise Ivanti Connect Secure (anciennement Pulse Secure) pour l'accès à distance, en direct ou via un infogérant.
- Quoi faire :
- faites appliquer immédiatement la version corrective de votre branche ;
- faites exécuter l'outil de vérification d'intégrité d'Ivanti (ICT) et rechercher les indicateurs publiés par Volexity ;
- en cas de compromission, isolez l'équipement, signalez l'incident au CERT-FR et renouvelez les secrets (compte LDAP ou Active Directory, certificats, mots de passe).
- Urgence : très élevée. Exploitation active, et le CERT-FR indique avoir connaissance de latéralisations utilisant les secrets stockés sur l'équipement.
Détail technique
Identifiants. CVE-2026-104935 : contournement d'authentification par usurpation, permettant à un attaquant distant non authentifié d'exécuter des commandes arbitraires. Avis CERT-FR associé : CERTFR-2026-AVI-1311.
Produits et versions.
- Ivanti Connect Secure (ICS) 22.8 : versions affectées 22.8Rx antérieures à 22.8R2.5 ; version corrigée : 22.8R2.5 ou ultérieure.
- Ivanti Connect Secure (ICS) 25.1.1 : versions affectées 25.1.1.x antérieures à 25.1.1.2 ; version corrigée : 25.1.1.2 ou ultérieure.
- Ivanti Connect Secure (ICS) 25.1.3 : versions affectées 25.1.3.x antérieures à 25.1.3.1 ; version corrigée : 25.1.3.1 ou ultérieure.
KEV. Oui : ajoutée au catalogue KEV de la CISA le 13 octobre 2026.
Exploitation active. Oui, selon Ivanti, la CISA et le CERT-FR.
IOC publics. Volexity publie des indicateurs de compromission et Ivanti fournit son outil de vérification d'intégrité (ICT). Nous ne les recopions pas : reportez-vous à l'alerte du CERT-FR et au rapport de Volexity.
Remédiation.
- Mettre à jour en 22.8R2.5, 25.1.1.2 ou 25.1.3.1 (ou ultérieures) selon la branche.
- Rechercher une compromission avec les indicateurs de Volexity et la version externe de l'outil ICT. Le CERT-FR rappelle que cet outil nécessite un accès physique et peut interrompre le service.
- En cas de compromission, suivre l'ordre du CERT-FR : isoler l'équipement, préserver les traces (instantané pour une appliance virtuelle, journaux), signaler l'incident, réinitialiser en configuration d'usine, mettre à jour, puis renouveler les secrets : comptes LDAP ou Active Directory, certificats, mot de passe d'administration, clés d'API, comptes locaux et comptes de service.
- Rechercher ensuite une latéralisation depuis l'équipement sur le reste du réseau.