Mis à jour le 15 octobre 2026 : la CISA, l’agence américaine de cybersécurité, confirme les attaques et demande de corriger immédiatement. Selon la société Defused, les premières exploitations remontent au 1er octobre (Volexity les datait du 3 octobre chez son client). La CISA rappelle que l’outil de contrôle d’Ivanti peut ne rien détecter et recommande, en cas de compromission, une réinitialisation complète du boîtier et le changement de tous les mots de passe et certificats (BleepingComputer, 14 octobre 2026).
Début octobre 2026, un attaquant est entré chez une entreprise par son boîtier VPN Ivanti Connect Secure, pourtant à jour. Il a enchaîné trois failles encore inconnues, puis s’est servi du boîtier pour chercher des mots de passe, en effaçant ses traces. Un rappel utile : les mises à jour sont indispensables, mais elles ne suffisent pas toujours.
Ce qui s’est passé
Le 5 octobre, la société de sécurité Volexity enquête sur une activité suspecte chez un de ses clients. Elle remonte jusqu’au boîtier VPN, l’appareil qui permet aux salariés de se connecter à distance au réseau de l’entreprise. Ce boîtier tournait sur la dernière version disponible. Depuis le 3 octobre, un groupe inconnu jusque-là, que Volexity nomme UTA0576, l’exploitait grâce à trois failles que personne ne connaissait encore (Volexity, 13 octobre 2026).
Ivanti a publié le 13 octobre un correctif pour deux de ces failles et indique avoir connaissance d’une exploitation « limitée ». La troisième doit être corrigée dans les prochaines semaines (The Hacker News, 13 octobre 2026).
Comment l’attaque a fonctionné
En simplifiant, l’attaquant a utilisé trois clés l’une après l’autre :
- la première lui permettait de passer devant la page de connexion sans identifiant ;
- la deuxième de déposer et lancer un petit programme sur le boîtier ;
- la troisième d’obtenir les droits maximum sur l’appareil.
Il n’a installé aucune porte dérobée : il rejouait toute la séquence à chaque commande, puis effaçait les traces dans les journaux du boîtier. L’outil de contrôle fourni par Ivanti n’a rien détecté, car les modifications n’étaient faites qu’en mémoire, jamais sur le disque.
Une fois maître du boîtier, l’attaquant a récupéré les identifiants que le VPN utilise pour interroger l’annuaire de l’entreprise (la liste des comptes et des droits, souvent Active Directory). Il s’en est servi pour chercher des mots de passe d’administrateur et des clés de secours du chiffrement des disques. Il a aussi écouté le trafic réseau et essayé des mots de passe courants sur de nombreux comptes. Selon Volexity, il préparait la suite de l’intrusion ; l’attaque a été interrompue avant.
Ce qu’on ne sait pas encore
- Le nombre de victimes et leurs secteurs : ni Ivanti ni Volexity ne les donnent.
- Le risque exact de la troisième faille, non corrigée, une fois les deux premières bouchées.
- Si la mise à jour suffit à chasser un attaquant déjà entré. Rien ne l’indique : mieux vaut considérer que non.
Ce que ça change pour une PME
Si vous avez un VPN, quel que soit le fabricant, ce cas vous concerne.
- Si vous utilisez Ivanti Connect Secure, faites appliquer le correctif tout de suite, puis surveillez l’arrivée du troisième. Demandez aussi qu’on recherche des traces d’intrusion depuis début octobre.
- Faites envoyer les journaux du VPN vers un outil extérieur (celui de votre prestataire, par exemple), pour qu’un attaquant ne puisse pas les effacer.
- Limitez ce que le VPN peut faire dans votre annuaire. Son compte technique n’a pas besoin de lire les mots de passe d’administrateur ni les clés de chiffrement.
- Imposez des mots de passe robustes et la double authentification à tous. Essayer quelques mots de passe courants sur des centaines de comptes ne marche que si certains sont faibles.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Combien de temps nous faut-il pour appliquer un correctif urgent sur notre VPN, et que faisons-nous quand une faille est attaquée avant qu’un correctif existe ?
- Les journaux de notre VPN partent-ils vers un outil hors de sa portée, et qui serait alerté si le VPN se mettait à interroger tout l’annuaire en pleine nuit ?
- Avons-nous vérifié ce que le compte technique du VPN a le droit de lire et de faire dans notre annuaire ?
- Si notre VPN est suspect, qui décide de l’isoler, et qui sait conserver les preuves avant de le redémarrer ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Équipements exposés et correctifs · Mots de passe et accès volés
Cet article prolonge notre bulletin de veille du 14 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.