Mis à jour le 15 octobre 2026 : la CISA a ajouté CVE-2026-104935 à son catalogue des vulnérabilités exploitées (KEV) et publié une alerte. Defused indique avoir observé l’exploitation dès le 1er octobre, soit avant la date retenue par Volexity pour son client (3 octobre). Selon la CISA, la recherche de compromission suppose une analyse réseau et mémoire, l’outil d’intégrité d’Ivanti pouvant ne rien voir puisque les commandes s’exécutent en mémoire. En cas de compromission : sauvegarde de la configuration, réinitialisation d’usine et mise à jour (reconstruction pour les instances virtuelles), restauration de la configuration, puis réinitialisation de tous les mots de passe (domaine, administrateurs, comptes locaux), révocation et réémission des certificats, renouvellement des clés d’API (BleepingComputer, 14 octobre 2026).
Début octobre 2026, un attaquant a compromis un VPN Ivanti Connect Secure à jour en enchaînant trois failles inconnues, puis s’en est servi pour voler des identifiants et explorer l’Active Directory. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, raisons d’une détection difficile, questions d’audit ISO 27001 et pistes de sensibilisation. Elle repose sur un seul incident décrit en détail par Volexity : le nombre de victimes n’est pas connu.
Pour une lecture orientée dirigeant, voir notre décryptage « VPN Ivanti : un boîtier à jour piraté grâce à trois failles inconnues ».
Contexte
- Victime : un client de Volexity, non nommé, secteur non communiqué (Volexity, 13 octobre 2026).
- Dates : exploitation à partir du 3 octobre 2026, enquête ouverte le 5 octobre, correctifs et publication le 13 octobre.
- Équipement : Ivanti Connect Secure 22.8R2.4, dernière version disponible au moment de l’attaque.
- Failles : contournement d’authentification et exécution de code regroupés sous CVE-2026-104935 (CVSS 8,6 selon Ivanti ; exploitation marquée « active » par la CISA dans l’enregistrement CVE). Élévation de privilèges vers root : pas encore corrigée au 13 octobre (The Hacker News, 13 octobre 2026).
- Versions : selon l’enregistrement CVE, versions antérieures à 25.1.3.0 touchées ; 22.7R2.14 et antérieures non touchées ; 22.8R2.5, 25.1.3.0 et 25.1.3.1 listées comme non touchées. La version cible exacte est à vérifier dans l’avis de sécurité Ivanti.
- Attaquant : UTA0576, groupe inconnu jusqu’ici. Motivation plutôt criminelle qu’espionnage, avec un faible niveau de confiance selon Volexity, qui estime aussi (confiance moyenne) que l’attaquant s’aide de modèles d’IA pour développer ses exploits.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial | Contournement de l’authentification : une page publique du portail sert à atteindre un script normalement protégé, car le contrôle d’accès et le routage de la requête ne s’appuient pas sur la même information. | T1190 Exploit Public-Facing Application |
| Exécution | Dépôt d’un script via une fonction d’envoi de fichier, exécuté dans le court délai avant sa suppression (situation de concurrence). Étapes suivantes décodées et lancées uniquement en mémoire. | T1059 Command and Scripting Interpreter |
| Élévation de privilèges | Modification en mémoire d’un composant, pour qu’un service système exécute une tâche détournée avec les droits root, puis remise en état. Faille non corrigée au 13 octobre. | T1068 Exploitation for Privilege Escalation |
| Accès aux identifiants | Vol des identifiants stockés sur le boîtier, dont le compte de service LDAP. Avec ce compte, recherche dans l’AD des mots de passe LAPS, des clés de récupération BitLocker et d’attributs contenant des mots de passe. Analyse de captures réseau pour extraire des identifiants transmis en clair. Pulvérisation de mots de passe. | T1552 Unsecured Credentials, T1040 Network Sniffing, T1110.003 Password Spraying |
| Découverte | Export de métadonnées de l’AD, reconnaissance DNS et réseau, lecture des journaux d’authentification pour repérer des noms d’utilisateur valides. | T1087.002 Domain Account, T1016 System Network Configuration Discovery |
| Furtivité | Suppression ciblée d’entrées dans les journaux du boîtier, auto-suppression des scripts, outil de capture renommé et placé dans un dossier caché. | T1070 Indicator Removal, T1036 Masquerading |
| Exfiltration | Résultats renvoyés dans les réponses HTTPS de l’exploit, sans canal de commande séparé, ni porte dérobée, ni web shell. | T1041 Exfiltration Over C2 Channel |
La colonne MITRE est une lecture de notre part, à partir du rapport de Volexity. Un outil Kerberos capable de Kerberoasting a été déposé, mais cette fonction n’a pas été utilisée selon Volexity. L’attaque a été interrompue : les objectifs finaux ne sont pas connus, mais Volexity estime (confiance élevée) qu’un déplacement latéral se préparait.
Ce qu’on ne sait pas
Le nombre de victimes et leurs secteurs, le risque résiduel de la faille d’élévation de privilèges une fois les deux autres corrigées, l’existence d’une mesure de contournement pour les clients qui ne peuvent pas mettre à jour, et le fait qu’une mise à jour supprime ou non un accès déjà obtenu (The Hacker News). Nous ne spéculons pas sur ces points.
Détection : pourquoi les outils habituels ne suffisent pas
- Ce qui a fonctionné : la surveillance réseau assurée par Volexity chez son client a repéré une activité suspecte, puis l’a rattachée au VPN. La preuve est venue de l’analyse de la mémoire et du disque du boîtier, et des fichiers de plantage produits par l’exploitation.
- Pourquoi c’est difficile : aucun fichier modifié sur le disque, aucune porte dérobée, des journaux locaux nettoyés. L’outil de contrôle d’intégrité d’Ivanti, qui vérifie le disque, ne voit rien selon Volexity. Sur un équipement fermé comme un VPN, l’EDR et l’analyse mémoire sont rarement disponibles.
- Ce qui reste observable de l’extérieur du boîtier : un volume inhabituel de requêtes vers la page de connexion ; des requêtes LDAP anormales du compte de service du VPN (lecture d’attributs LAPS ou BitLocker) ; des échecs d’authentification en rafale sur de nombreux comptes ; des tentatives de déplacement latéral partant de l’adresse interne du VPN. Ces signaux supposent des journaux centralisés hors du boîtier.
Questions d’audit ISO 27001:2022
- A.8.8 et A.5.7 (gestion des vulnérabilités techniques, renseignement sur les menaces) : « Pour vos équipements de bordure (VPN, pare-feu, passerelles), quel délai entre la publication d’un correctif critique et son application ? Que prévoit la procédure quand une faille exploitée n’a pas de correctif, ou seulement un correctif partiel ? Après correction, cherchez-vous des traces d’exploitation antérieure ? »
- A.8.15 et A.8.16 (journalisation, activités de surveillance) : « Les journaux du VPN sont-ils envoyés en temps réel vers un SIEM ou un collecteur externe ? Avez-vous des règles sur les requêtes LDAP inhabituelles du compte de service du VPN et sur la pulvérisation de mots de passe ? »
- A.8.2, A.5.15 et A.8.20 (droits d’accès privilégiés, contrôle d’accès, sécurité des réseaux) : « Quels droits a le compte de service du VPN dans l’AD ? Peut-il lire les attributs LAPS ou BitLocker ? Les flux du VPN vers les contrôleurs de domaine sont-ils limités au strict nécessaire ? »
- A.5.24 à A.5.26 (planification et réponse aux incidents) : « En cas de compromission suspectée d’un équipement de bordure, qui décide de l’isoler ? Qui sait réaliser une capture mémoire avant redémarrage ou réinitialisation ? Quels secrets connus de l’équipement sont renouvelés, et dans quel ordre ? »
Pistes de sensibilisation
- Pour les équipes IT : atelier « À jour, mais pas forcément sain ». À partir de ce cas, dérouler ce qu’on fait quand un éditeur corrige une faille déjà exploitée : appliquer le correctif, rechercher des traces d’intrusion depuis la date de première exploitation, renouveler les secrets que l’équipement connaissait (comptes de service, certificats).
- Pour tous les collaborateurs : la pulvérisation de mots de passe expliquée simplement. Un attaquant teste quelques mots de passe courants sur des centaines de comptes. Un mot de passe unique et robuste, plus la double authentification, rend la technique inefficace.
À lire aussi : notre décryptage pour les dirigeants, « VPN Ivanti : un boîtier à jour piraté grâce à trois failles inconnues », et le bulletin de veille du 14 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.