Ivanti Connect Secure : des correctifs supplémentaires requis après des attaques réelles

Rapid7 et KISA ont appelé les administrateurs d'Ivanti Connect Secure à appliquer des correctifs supplémentaires au-delà des mises à jour publiées le 13 octobre, après la confirmation d'attaques réelles en chaîne exploitant plusieurs failles zero-day, selon dailysecu.com. Le 2 novembre, Rapid7 a recommandé une mise à jour urgente plutôt que d'attendre le cycle de correctifs habituel, et KISA a conseillé de passer aux versions 25.1.1.3 ou ultérieures, ou 22.8R2.6 ou ultérieures.

Les versions 25.1.1.2 et 22.8R2.5, publiées le 13 octobre, ne corrigent pas deux vulnérabilités supplémentaires : une élévation de privilèges et un problème permettant le dépôt de fichiers contrôlés par l'attaquant à des emplacements prévisibles. Les entreprises qui ont appliqué ces mises à jour doivent donc vérifier à nouveau les versions installées.

Les attaques combinent le contournement d'authentification CVE-2026-104935 avec CVE-2026-111357 et CVE-2026-118527. Enchaînées au contournement d'authentification, ces failles permettent l'exécution de code avec des privilèges root sans connexion préalable.

Volexity a confirmé que le groupe UTA0576 a attaqué la version 22.8R2.4 à partir du 3 octobre, dérobant des identifiants VPN stockés et interrogeant Active Directory pour obtenir les mots de passe administrateur local Windows et les clés de récupération BitLocker. Le 29 octobre, Ivanti a mis à jour son avis de sécurité et fourni les versions corrigeant les vulnérabilités supplémentaires.

Rapid7 a par ailleurs conseillé de préserver la mémoire et les journaux avant tout redémarrage ou réinitialisation, et de renouveler les identifiants susceptibles d'avoir été exposés.