Ivanti a publié des mises à jour de sécurité pour deux nouvelles vulnérabilités dans sa passerelle d'accès à distance Connect Secure (ICS), et l'entreprise indique qu'elles ont été enchaînées dans des attaques zero-day depuis au moins le 1er octobre. Si votre organisation utilise cette appliance, ce correctif zero-day pour Ivanti Connect Secure est à prioriser.

Les détails disponibles à ce stade sont limités, cet article s'en tient donc à ce qui a été rapporté et se concentre sur des mesures pratiques pour les administrateurs et les employés qui dépendent de la passerelle.

Ce qu'Ivanti a corrigé et quand les attaques ont commencé

Selon le rapport, Ivanti a publié des mises à jour couvrant deux vulnérabilités supplémentaires dans Connect Secure, la passerelle d'accès à distance que de nombreuses organisations utilisent pour permettre à leur personnel d'atteindre les systèmes internes depuis l'extérieur du bureau. Les failles ont été exploitées en tant que zero-days, ce qui signifie que les attaquants les utilisaient avant qu'un correctif n'existe.

Le détail chronologique clé est que les attaques ont lieu depuis au moins le 1er octobre. L'expression « au moins » compte : elle indique qu'il s'agit de l'activité la plus ancienne confirmée à ce jour, pas nécessairement de la première. Les organisations qui faisaient tourner des appliances non corrigées pendant cette période devraient envisager la possibilité d'avoir été exposées, plutôt que de supposer que le correctif seul met un terme à l'affaire.

Les failles ont également été enchaînées, ce qui signifie que les attaquants les ont combinées plutôt que de s'appuyer sur un seul bug. Ce détail façonne la manière dont les défenseurs doivent envisager le risque.

Pourquoi les exploits en chaîne sur les passerelles VPN sont si dangereux

Une passerelle d'accès à distance se situe à la périphérie d'un réseau. Elle est accessible depuis Internet par conception, et elle est considérée comme fiable pour connecter des utilisateurs externes aux ressources internes. Cette combinaison en fait une cible de grande valeur : une compromission réussie peut offrir un point d'ancrage dans un endroit à la fois exposé et bien connecté.

L'enchaînement rend cela plus grave. Une vulnérabilité peut donner à un attaquant un accès limité, tandis qu'une seconde peut étendre cet accès ou le transformer en quelque chose de plus puissant. Utilisées ensemble, deux failles qui pourraient chacune être gérables isolément peuvent représenter un problème bien plus important. Les défenseurs qui trient en examinant chaque bug isolément peuvent sous-estimer l'impact réel.

Cela s'inscrit aussi dans un schéma plus large. Notre précédente couverture du contournement d'authentification Ivanti Connect Secure suivi sous CVE-2026-104935 décrivait une autre faille dans le même produit, déjà utilisée dans des attaques. Voir une deuxième vague de zero-days dans la même passerelle souligne pourquoi ces appliances méritent une attention particulière.

Comment vérifier si votre passerelle VPN professionnelle est corrigée

Si vous administrez Connect Secure, commencez par les bases :

  • Confirmez la version de votre appliance. Vérifiez la version actuellement en cours d'exécution et comparez-la aux versions corrigées listées dans l'avis de sécurité d'Ivanti pour ces deux failles.
  • Examinez l'historique de vos mises à jour. Vérifiez que la mise à jour a bien été appliquée et que l'appliance a redémarré sur la version corrigée, et non simplement téléchargée.
  • Remontez au 1er octobre. Étant donné que les attaques remontent au moins à cette date, examinez les journaux et tout résultat de contrôle d'intégrité depuis cette période.
  • Recherchez les correctifs associés. Assurez-vous que les correctifs antérieurs, y compris celui de la CVE-2026-104935, sont également en place.

Si vous êtes un employé plutôt qu'un administrateur, vous ne pouvez pas corriger l'appliance vous-même, mais vous pouvez demander à votre équipe informatique ou de sécurité si la passerelle Connect Secure a reçu la dernière mise à jour. Une question courte et directe est raisonnable et souvent bien accueillie.

Que faire si votre appliance Connect Secure n'est pas à jour

Appliquez les correctifs dès que votre processus de changement le permet. Comme ces failles sont exploitées en conditions réelles, attendre une fenêtre de maintenance de routine comporte un risque réel.

Pendant que vous préparez la mise à jour, envisagez de limiter qui peut accéder aux interfaces de gestion de l'appliance et suivez les recommandations de mesures d'atténuation provisoires fournies par Ivanti. Après la correction, exécutez les outils de contrôle d'intégrité du fournisseur s'ils sont disponibles, et recherchez des sessions inhabituelles, des modifications de configuration inattendues ou des comptes que vous ne reconnaissez pas. Si vous trouvez des signes de compromission, traitez-le comme un incident : isolez l'appliance, préservez les journaux et impliquez votre équipe de réponse aux incidents avant de réinitialiser des identifiants qui ont pu transiter par la passerelle.

Ce que cela signifie pour vous

Pour les administrateurs, le message est simple : vérifiez votre version, corrigez, et enquêtez sur la période depuis le 1er octobre. Une appliance corrigée n'est pas automatiquement saine si elle a été exposée avant la mise à jour.

Pour les utilisateurs quotidiens d'un VPN d'entreprise, il n'y a aucun logiciel à installer sur votre propre appareil pour ce problème, puisque le composant vulnérable est la passerelle. C'est néanmoins le bon moment pour utiliser des mots de passe forts et uniques, activer l'authentification multifacteur lorsqu'elle est proposée, et signaler tout élément étrange, comme des demandes de connexion inattendues ou des alertes de connexion.

Points clés à retenir

  • Ivanti a publié des mises à jour pour deux nouvelles failles Connect Secure enchaînées dans des attaques zero-day depuis au moins le 1er octobre.
  • Les passerelles d'accès à distance sont des cibles attractives car elles sont exposées à Internet et considérées comme fiables.
  • Les failles enchaînées peuvent être plus dommageables que chaque bug pris isolément.
  • Confirmez la version de votre appliance, appliquez dès maintenant le correctif zero-day d'Ivanti Connect Secure, et examinez l'activité depuis le 1er octobre.
  • Pour le contexte de ce schéma récurrent, lisez notre précédent rapport sur le contournement d'authentification CVE-2026-104935.

Si vous utilisez ou administrez Ivanti Connect Secure, vérifiez votre version dès aujourd'hui et appliquez les mises à jour sans délai.