Une faille de contournement d'authentification récemment divulguée dans Ivanti Connect Secure est déjà utilisée dans des attaques, et la CISA presse les organisations d'agir rapidement. Suivie sous la référence CVE-2026-104935, la faille est classée de gravité élevée, et un analyste cité dans la couverture de Cyber Daily la décrit comme « incroyablement simple » à exploiter. Si votre organisation utilise cette passerelle VPN, le correctif du zero-day Ivanti Connect Secure devrait figurer en tête de votre liste.

Les détails publics restent limités, cet article s'en tient donc à ce qui a été rapporté et se concentre sur les mesures pratiques que vous pouvez prendre.

Ce qu'est CVE-2026-104935 et pourquoi elle est exploitée

CVE-2026-104935 est un contournement d'authentification dans Ivanti Connect Secure. En termes simples, un contournement d'authentification permet à un attaquant de franchir l'étape de connexion censée tenir les intrus à l'écart d'un système. Au lieu de voler un mot de passe ou de tromper un utilisateur, l'attaquant contourne purement et simplement la vérification.

Deux détails expliquent pourquoi cela attire l'attention. Premièrement, la faille est décrite comme un zero-day que les attaquants ont déjà ciblé. Deuxièmement, un analyste l'a qualifiée d'« incroyablement simple » à exploiter. Les failles simples qui ne nécessitent aucun identifiant et peu de compétences tendent à se propager rapidement, car davantage d'attaquants peuvent les utiliser et l'analyse automatisée devient pratique.

La CISA a appelé à une action rapide. L'article source ne nous fournit pas de détails techniques supplémentaires, tels que les numéros de version concernés ou l'identité des attaquants, consultez donc l'avis officiel d'Ivanti pour ces informations plutôt que de vous fier à des résumés de seconde main.

Votre passerelle VPN est-elle concernée ? Comment détecter les signes de compromission

Commencez par l'essentiel : confirmez si vous utilisez Ivanti Connect Secure, y compris les appliances plus anciennes ou oubliées dans les succursales, les environnements de test ou les déploiements cloud. Les passerelles non gérées sont souvent celles qui restent non corrigées.

Comparez ensuite votre version installée avec les versions indiquées dans l'avis d'Ivanti. Si vous vous trouvez dans une plage concernée, considérez que l'appareil est à risque jusqu'à sa mise à jour.

Les attaques étant signalées comme en cours, la correction seule peut ne pas suffire. Un contournement exploité avant l'existence d'un correctif a pu laisser des traces. Les mesures raisonnables incluent :

  • Examiner les journaux d'authentification et d'administration à la recherche de connexions inattendues, en particulier depuis des adresses IP inconnues ou à des heures inhabituelles.
  • Rechercher des comptes nouveaux ou modifiés, des modifications de configuration ou des fichiers inconnus sur l'appliance.
  • Exécuter tout outil de vérification d'intégrité fourni par le fournisseur et suivre ses recommandations sur l'interprétation des résultats.
  • Vérifier si l'interface de gestion est accessible depuis l'internet public alors que ce n'est pas nécessaire.

Si vous trouvez quoi que ce soit de suspect, traitez-le comme un incident : isolez l'appareil, préservez les journaux et suivez les recommandations du fournisseur et de la CISA avant de le remettre en ligne.

Étapes de correction et d'atténuation selon les recommandations de la CISA

L'instruction la plus claire est d'appliquer le correctif du fournisseur dès qu'il est disponible pour votre version. L'appel de la CISA à une action rapide indique qu'attendre une fenêtre de maintenance habituelle est un choix risqué ici.

Une séquence pratique se présente comme suit :

  1. Appliquer la mise à jour. Installez le correctif fourni par Ivanti ou suivez toute mesure d'atténuation provisoire publiée par le fournisseur si un correctif n'est pas encore disponible pour votre version.
  2. Restreindre l'exposition. Limitez l'accès à la gestion aux réseaux de confiance et, lorsque c'est possible, placez des contrôles supplémentaires devant la passerelle.
  3. Renouveler les identifiants en cas de suspicion de compromission. Cela inclut les comptes locaux et tout secret stocké sur l'appliance ou accessible via celle-ci.
  4. Surveiller par la suite. Maintenez une journalisation renforcée pendant une période après la correction, car une intrusion antérieure peut ne pas se manifester immédiatement.
  5. Documenter et signaler. Consignez ce que vous avez trouvé et fait, et respectez toute obligation de signalement applicable à votre organisation.

Pour les versions exactes des correctifs et les étapes d'atténuation, fiez-vous directement à Ivanti et à la CISA, car ces instructions peuvent être mises à jour au fur et à mesure de l'évolution de la situation.

Pourquoi les appliances VPN sont des cibles de grande valeur

Les passerelles VPN se trouvent à la périphérie d'un réseau, exposées à l'internet par conception. Cela les rend accessibles à quiconque, et une compromission réussie peut offrir une voie directe vers les systèmes internes. Les attaquants les apprécient également car ces appareils fonctionnent souvent avec des privilèges étendus et peuvent gérer les identifiants de nombreux utilisateurs.

Les appliances de périphérie peuvent aussi être plus difficiles à surveiller que les ordinateurs portables ou les serveurs, car elles ne prennent pas toujours en charge les mêmes agents de sécurité. Cette lacune donne aux attaquants plus de temps pour opérer sans être remarqués. Ce schéma s'inscrit dans un changement plus large où les attaquants s'en prennent à l'infrastructure qui protège l'accès, un thème qui apparaît également dans notre analyse de la façon dont l'IA passe d'auxiliaire des attaquants à opérateur autonome dans les campagnes d'espionnage récentes, où la vitesse et l'échelle favorisent l'attaquant.

Ce que cela signifie pour vous

Si vous administrez Ivanti Connect Secure, il s'agit d'une tâche urgente : identifiez vos appareils, corrigez-les et recherchez les signes de compromission. Ne présumez pas qu'un journal silencieux signifie un appareil propre.

Si vous êtes un employé ou un utilisateur distant d'un VPN d'entreprise, vous ne pouvez pas corriger la passerelle vous-même, mais vous pouvez demander à votre équipe informatique si elle est concernée et si le correctif a été appliqué. Utilisez des mots de passe forts et uniques ainsi que l'authentification multifacteur sur vos comptes, et signalez toute invite de connexion inattendue ou alerte de compte. Notez qu'un contournement d'authentification peut éviter les connexions, ces habitudes réduisent donc le risque mais ne remplacent pas la correction.

Si vous utilisez un service VPN grand public, ce problème spécifique concerne le produit d'entreprise d'Ivanti, et non les applications grand public. Cela reste un rappel utile que tout système d'accès à distance exposé à l'internet nécessite des mises à jour régulières.

Points clés à retenir

  • Traitez le correctif du zero-day Ivanti Connect Secure pour CVE-2026-104935 comme urgent, car des attaques seraient déjà en cours.
  • Confirmez lesquelles de vos passerelles utilisent Ivanti Connect Secure et vérifiez leurs versions par rapport à l'avis d'Ivanti.
  • Examinez les journaux et l'intégrité des appliances à la recherche de signes de compromission, même après la correction.
  • Suivez les recommandations de la CISA et les instructions officielles d'Ivanti au fur et à mesure de leurs mises à jour.
  • Profitez de ce moment pour revoir comment votre organisation sécurise l'infrastructure d'accès à distance, y compris l'exposition des interfaces de gestion et la surveillance des appareils de périphérie.

Corrigez d'abord, enquêtez ensuite, et continuez à surveiller : cet ordre vous donne la meilleure chance de garder une longueur d'avance.