Ivanti Connect Secure : trois failles enchaînées pour devenir root
Trois failles Ivanti Connect Secure enchaînées donnent un accès root sans authentification, et la CISA tire la sonnette d'alarme.
La CISA américaine a réagi vendredi à une menace sérieuse. En effet, l’agence a ajouté deux vulnérabilités touchant Ivanti Connect Secure (ICS) à son catalogue des vulnérabilités exploitées (KEV). Cette décision confirme une exploitation active dans la nature. Selon les informations disponibles, des attaquants enchaînent trois failles. Ils obtiennent ainsi un accès root sans authentification.
Autrement dit, un assaillant distant n’a besoin d’aucun identifiant pour prendre le contrôle complet de l’équipement. Les organisations qui exposent cette passerelle VPN sur Internet sont donc en première ligne.
La CISA ajoute deux failles Ivanti Connect Secure au catalogue KEV
Le catalogue KEV recense les failles dont l’exploitation réelle est avérée. Il sert de référence aux équipes de sécurité pour prioriser leurs correctifs. En outre, il impose un cadre aux agences civiles fédérales américaines. Ainsi, celles-ci doivent corriger les failles listées avant une échéance fixée par la CISA.
L’une des deux vulnérabilités ajoutées porte l’identifiant CVE-2026-111357. Elle affiche notamment un score CVSS de 8,8. Il s’agit d’un défaut d’authentification sur une fonction critique. En clair, une action sensible peut être déclenchée sans que le système vérifie l’identité de l’appelant.
Ce type de faille est particulièrement dangereux sur un équipement de bordure. En effet, ces appareils sont accessibles depuis Internet. Ils servent aussi de point d’entrée vers le réseau interne. Une seule brèche peut donc ouvrir la porte à toute l’infrastructure.
À ce stade, cet article se concentre sur CVE-2026-111357, seule faille détaillée dans les éléments en notre possession. Donc, les équipes doivent consulter l’avis officiel d’Ivanti pour connaître la liste complète des versions touchées et des correctifs.
Une chaîne de trois vulnérabilités vers les droits root
Le point le plus préoccupant tient à l’enchaînement des failles. Prise isolément, une vulnérabilité donne souvent un accès limité. Cependant, plusieurs défauts combinés peuvent produire un effet bien plus grave.
Le scénario décrit suit une logique classique. D’abord, une première faille permet de contourner l’authentification. Ensuite, une autre étape élève les privilèges ou exécute des commandes. Enfin, l’attaquant obtient les droits root, c’est-à-dire le niveau d’accès le plus élevé sur le système.
Les conséquences d’une telle prise de contrôle sont lourdes :
- lecture ou vol de données de configuration et d’identifiants stockés sur l’appareil ;
- interception potentielle du trafic des utilisateurs distants ;
- installation de portes dérobées pour garder un accès durable ;
- déplacement latéral vers les serveurs et postes du réseau interne.
Par ailleurs, un accès root rend la détection plus difficile. L’attaquant peut modifier les journaux ou désactiver certains contrôles. C’est pourquoi un simple correctif ne suffit pas toujours. Il faut aussi vérifier que l’appareil n’a pas déjà été compromis.
Pourquoi les VPN comme Ivanti Connect Secure attirent les attaquants
Les passerelles VPN sont des cibles de choix. Elles sont exposées en permanence. De plus, elles concentrent des accès privilégiés et traitent des données sensibles. Une compromission offre donc un excellent retour sur investissement aux groupes malveillants.
Ivanti Connect Secure n’en est pas à son coup d’essai. Ces dernières années, le produit a fait l’objet de plusieurs campagnes d’exploitation. Les attaquants surveillent chaque nouvelle publication de correctif. Ensuite, ils cherchent à l’analyser pour exploiter rapidement les appareils non mis à jour.
Le délai entre la publication d’une faille et son exploitation se réduit. Par conséquent, les entreprises disposent de très peu de temps pour réagir. Les équipements de bordure doivent donc figurer tout en haut de la liste des priorités.
Enfin, ces appareils sont souvent mal supervisés. Beaucoup d’équipes ne collectent pas leurs journaux de manière centralisée. Une intrusion peut ainsi passer inaperçue pendant des semaines.
Ce qu’il faut retenir
Les équipes qui exploitent des appliances Ivanti doivent agir sans attendre. Voici les mesures prioritaires :
- Identifier tous les équipements Ivanti Connect Secure du parc, y compris ceux oubliés ou en test.
- Appliquer les correctifs publiés par Ivanti dès que possible, en suivant l’avis de sécurité officiel.
- Vérifier l’intégrité de l’appareil avec les outils de contrôle fournis par l’éditeur.
- Examiner les journaux à la recherche de connexions inhabituelles, de commandes suspectes ou de comptes inconnus.
- Réinitialiser les identifiants, certificats et secrets stockés sur l’appareil en cas de doute.
- Restreindre l’exposition de l’interface d’administration, qui ne devrait jamais être ouverte à tout Internet.
En résumé, l’inscription au catalogue KEV signale une menace concrète et actuelle. La faille CVE-2026-111357, notée 8,8, illustre le risque d’une fonction critique sans authentification. Par ailleurs, une chaîne de trois vulnérabilités mène à un accès root distant. Il est donc urgent de corriger, puis de vérifier qu’aucune compromission n’a eu lieu.
Source : Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access