CISA exhorte à mettre à jour Ivanti Connect Secure en urgence : la faille CVE-2026-104935 est activement exploitée.

La CISA, l’agence américaine de cybersécurité, a lancé un appel pressant mardi. Elle demande aux organisations de mettre à jour sans délai leurs appliances Ivanti Connect Secure (ICS). En effet, une vulnérabilité critique est déjà exploitée dans la nature. Par ailleurs, des pots de miel ont enregistré 105 tentatives d’exploitation.

CVE-2026-104935 : une contournement d’authentification sur ICS

La faille porte l’identifiant CVE-2026-104935. Elle affiche un score CVSS de 8,6, ce qui la place à un niveau de gravité élevé. Il s’agit d’un contournement d’authentification qui touche Ivanti Connect Secure.

Autrement dit, un attaquant peut franchir l’étape de connexion sans disposer d’identifiants valides. Or cette étape est la première barrière d’une passerelle d’accès distant. Si elle cède, le reste de la protection devient bien fragile.

Les informations publiques restent limitées pour le moment. Nous ne détaillons donc pas ici le mécanisme technique précis. En revanche, l’essentiel est clair : la vulnérabilité est exploitée activement, et la CISA demande d’installer la dernière version disponible.

105 tentatives d’exploitation sur des pots de miel

Le chiffre mérite d’être souligné. Des pots de miel ont consigné 105 tentatives d’exploitation. Ces leurres imitent des systèmes réels et attirent les attaquants. Ils servent ainsi de baromètre fiable de l’activité malveillante.

Toutefois, ce nombre ne reflète probablement qu’une partie de la réalité. Un pot de miel ne représente qu’un échantillon du trafic hostile. Les attaques visant de vrais serveurs exposés peuvent donc être bien plus nombreuses.

Par conséquent, les équipes de sécurité ne doivent pas attendre de preuve de compromission pour agir. Le simple fait que la faille soit ciblée suffit à justifier une intervention immédiate.

Pourquoi les passerelles VPN attirent les attaquants

Les produits comme Ivanti Connect Secure sont des cibles de choix. Ils sont placés en bordure du réseau et accessibles depuis Internet. De plus, ils ouvrent un accès direct aux ressources internes de l’entreprise.

Un attaquant qui prend le contrôle d’une telle appliance obtient une position stratégique. Il peut notamment observer le trafic, récupérer des identifiants ou rebondir vers d’autres systèmes. C’est pourquoi ces équipements figurent régulièrement dans les alertes des agences gouvernementales.

Par ailleurs, les appliances de ce type sont souvent difficiles à surveiller. Elles embarquent un système fermé, et les outils de détection classiques y sont rarement installés. Une compromission peut donc passer inaperçue pendant longtemps.

Comment réagir face à la faille Ivanti Connect Secure

La priorité est simple : appliquer la mise à jour. Les organisations doivent passer leurs appliances et leurs déploiements à la dernière version d’ICS. Cette consigne vient directement de la CISA.

Ensuite, il faut vérifier l’état de l’équipement. Une appliance exposée avant le correctif a pu être visée. Il est donc prudent d’examiner les journaux d’authentification et de repérer toute connexion inhabituelle. Il convient aussi de contrôler l’intégrité du système, par exemple avec les outils de vérification proposés par l’éditeur.

Enfin, pensez à limiter la surface d’attaque. Les interfaces d’administration ne devraient pas être accessibles depuis Internet. Une segmentation du réseau réduit également l’impact d’une éventuelle intrusion.

Ce qu’il faut retenir

• La vulnérabilité CVE-2026-104935 (CVSS 8,6) est un contournement d’authentification affectant Ivanti Connect Secure.
• Elle est activement exploitée, et 105 tentatives ont été enregistrées par des pots de miel.
• La CISA demande de passer immédiatement à la dernière version d’ICS.
• Après la mise à jour, analysez les journaux et vérifiez l’intégrité de l’appliance.
• Si vous constatez des signes de compromission, changez les identifiants et secrets associés au service.
• Limitez l’exposition des interfaces d’administration à Internet.

Dans un contexte où les attaquants ciblent en priorité les équipements de périphérie, la réactivité fait la différence. Chaque jour sans correctif augmente le risque. Les équipes qui exploitent ICS ont donc intérêt à traiter ce sujet en tête de leur liste de tâches.

Source : CISA Urges Immediate Ivanti Connect Secure Updates as Honeypots Log 105 Exploit Attempts