Faille Ivanti Connect Secure CVE-2026-104935 : la chronologie d’un zero-day VPN
Le 13 octobre 2026, Ivanti a publié un avis de sécurité pour la faille Ivanti Connect Secure CVE-2026-104935 (CVSS 8,6), et la CISA l’a ajoutée le jour même à son catalogue des vulnérabilités activement exploitées. Le détail qui dérange : la faille était exploitée comme zero-day depuis le début octobre, y compris sur des passerelles VPN pourtant à jour. Voici la chronologie, étape par étape, et la liste de ce qu’une PME doit faire aujourd’hui.
Ivanti Connect Secure est un VPN d’entreprise très répandu. Comme toute passerelle d’accès à distance, il se trouve à la porte d’entrée de votre réseau — la même position stratégique que nous décrivions pour GlobalProtect. Rapid7 rappelle d’ailleurs que ce produit a déjà été visé par des zero-day en 2024 et en 2025.
La chronologie du zero-day Ivanti Connect Secure
🕒 De la découverte au correctif d’urgence
Juillet 2026
Une partie du problème est déjà corrigée… dans une seule branche
Selon Ivanti (cité par Rapid7), une partie de la faille a d’abord été repérée par son propre programme de sécurité et corrigée dans la version 25.1.3.0, publiée en juillet. Le travail pour reporter ce correctif sur les autres versions supportées était en cours.
Début octobre 2026 (vers le 1er)
Le zero-day est exploité sur des appareils à jour
La firme d’enquête numérique Volexity détecte l’acteur malveillant UTA0576 en train d’exploiter la faille sur des Ivanti Connect Secure entièrement à jour en 22.8R2.4. Être « patché » ne protégeait donc pas.
Étape 1 de la chaîne
Contournement de l’authentification par usurpation
La faille CVE-2026-104935 est un contournement d’authentification par usurpation (CWE-290). Un attaquant à distance, sans compte, se fait passer pour légitime auprès de la passerelle VPN.
Étape 2 de la chaîne
Exécution de commandes sans authentification
Une fois l’authentification contournée, l’attaquant peut exécuter des commandes arbitraires sur l’appareil Connect Secure. Volexity suit cette partie de la chaîne sous le même identifiant, CVE-2026-104935.
Étape 3 de la chaîne
Élévation de privilèges : un correctif encore attendu
Volexity rapporte que l’attaquant a aussi utilisé une faille distincte d’élévation de privilèges, pas encore corrigée au moment de l’avis. Ivanti prévoit de la corriger plus tard.
Avant la divulgation
Un nombre limité de clients touchés
Ivanti indique, selon Rapid7, qu’un nombre limité de clients ont été touchés avant la publication de l’avis. C’est la définition même d’un zero-day : l’exploitation précède le correctif.
13 octobre 2026
Avis Ivanti, correctif d’urgence et ajout au catalogue KEV
Ivanti publie son avis (CVSS 8,6) et des versions corrigées. Le même jour, la CISA ajoute CVE-2026-104935 à son catalogue des vulnérabilités activement exploitées (KEV). Rapid7 recommande d’appliquer la mise à jour en urgence, hors du cycle normal de correctifs.
Maintenant
Corriger, puis chercher des traces
Installez la version corrigée de votre branche, puis vérifiez si l’appareil a été compromis avant la mise à jour. L’outil de vérification d’intégrité (Integrity Checker Tool) peut ne pas voir cette chaîne, car elle agit en mémoire.
Versions touchées et versions corrigées
| Branche | Versions touchées | Version à installer |
|---|---|---|
| 25.1.1.x | 25.1.1.1 et antérieures | 25.1.1.2 |
| 25.1.2.x | 25.1.2.2 et antérieures | 25.1.3.0 ou 25.1.3.1 |
| 22.8R2.x | 22.8R2.4 et antérieures | 22.8R2.5 |
| 22.7.x et inférieures | Non touchées selon l’avis d’Ivanti | Vérifiez tout de même que votre version est encore supportée |
Liste d’urgence : quoi faire, dans quel ordre
✅ Liste d’urgence — faille Ivanti Connect Secure CVE-2026-104935
- ☐ Aujourd’hui : repérez chaque appareil Ivanti Connect Secure (siège, succursale, fournisseur TI) et notez sa version exacte.
- ☐ Aujourd’hui : installez la version corrigée de votre branche (25.1.1.2, 25.1.3.0 / 25.1.3.1 ou 22.8R2.5).
- ☐ Aujourd’hui : si l’appareil était en version touchée et exposé à Internet depuis début octobre, traitez-le comme possiblement compromis.
- ☐ Ne vous fiez pas qu’à l’Integrity Checker Tool : la chaîne agit en mémoire. Conservez les journaux et faites appel à une analyse forensique en cas de doute.
- ☐ En cas de compromission soupçonnée : suivez les étapes de rétablissement d’Ivanti, puis changez les mots de passe et secrets qui transitent par le VPN.
- ☐ Cette semaine : vérifiez les connexions VPN et les comptes inhabituels depuis le 1er octobre.
- ☐ Les prochaines semaines : surveillez le correctif à venir pour l’élévation de privilèges et installez-le dès sa sortie.
🏢 Ce que ça veut dire pour une PME
Beaucoup de PME ne savent pas quelle marque de VPN elles utilisent : c’est souvent le fournisseur TI ou le siège social qui l’a installé. Posez la question par écrit : « Utilisons-nous Ivanti Connect Secure, quelle version, et a-t-elle été mise à jour depuis le 13 octobre ? »
Et retenez la leçon de cette chronologie : un appareil « à jour » peut quand même être compromis avant la sortie d’un correctif. D’où l’importance de vérifier les traces, pas seulement la version.
Une passerelle VPN compromise donne souvent accès à tout le reste du réseau. Après la mise à jour, une surveillance automatisée 24/7 avec intervention du technicien de garde aide à repérer des connexions ou des comportements anormaux avant qu’ils ne deviennent un incident majeur. Découvrez notre surveillance cyber et nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
Vous ne savez pas quel VPN protège vos accès à distance, ni s’il est à jour ? Notre Bilan cyber gratuit repère vos passerelles exposées et leurs versions, et vous remet un plan clair, sans jargon.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- CISA — CISA Adds Two Known Exploited Vulnerabilities to Catalog (13 octobre 2026) (en anglais)
- Rapid7 — Ivanti Connect Secure zero-day exploited in the wild (CVE-2026-104935) (en anglais)
- Ivanti — Security Advisory Ivanti Connect Secure (CVE-2026-104935) (en anglais)
- CVE.org — CVE-2026-104935 (en anglais)
Photo : ThisIsEngineering, Pexels (licence Pexels).