Un récapitulatif hebdomadaire de sécurité couvrant la période du 7 au 14 octobre 2026, par Sherlock Forensics, ouvert par une chaîne d'exploitation Ivanti VPN effaçant les journaux : une séquence d'attaque rapportée qui efface ses propres traces après son exécution. Le même récapitulatif signalait un Patch Tuesday record de 1 413 CVE, des serveurs de sauvegarde détournés chez des fournisseurs de services gérés (MSP), et Pwn2Own Ireland clôturant sur 98 zero-days. Le résumé source est bref, cet article s'en tient donc à ce qu'il énonce et explique ce que cela signifie en pratique.

Ce que fait la chaîne d'exploitation Ivanti

Selon le récapitulatif, la chaîne Ivanti VPN efface ses propres journaux. Ce détail compte plus qu'il n'y paraît au premier abord. Les journaux constituent le principal registre utilisé par les défenseurs pour déterminer si un appareil a été accédé, ce qu'un attaquant a fait et quand cela s'est produit. Une exploitation qui supprime ses propres entrées laisse aux administrateurs un système d'apparence propre et aucune piste évidente.

L'effet pratique est que la question habituelle, « les journaux montrent-ils quelque chose de suspect ? », devient peu fiable. Un journal vide ou bien tenu n'est plus la preuve d'un appareil sain. Le résumé ne fournit pas de détails techniques tels que les versions affectées ou les identifiants, les administrateurs doivent donc se fier aux avis d'Ivanti eux-mêmes pour la portée exacte.

Les utilisateurs de VPN grand public sont-ils exposés ?

Pour la plupart des particuliers, la réponse est non, du moins pas directement. La chaîne rapportée cible les passerelles VPN d'entreprise d'Ivanti, les appliances que les organisations utilisent pour permettre aux employés de se connecter aux réseaux d'entreprise. Elle n'est pas décrite comme une attaque contre les applications VPN grand public que les gens installent sur un téléphone ou un ordinateur portable pour protéger leur navigation.

Cela dit, il existe des manières indirectes dont elle peut toucher les particuliers :

  • Si vous vous connectez au réseau d'un employeur via une passerelle Ivanti, c'est l'exposition de votre organisation qui compte. Votre appareil personnel n'est pas le point faible, mais les données transitant par la passerelle pourraient l'être.
  • Si vous êtes client d'une entreprise qui en utilise une, une passerelle compromise peut devenir un chemin vers les systèmes détenant des données clients.
  • Si vous dirigez une petite entreprise ou travaillez dans l'informatique, vous êtes peut-être la personne responsable de la mise à jour de l'appliance.

En bref, les utilisateurs à domicile de services VPN grand public ne sont pas la cible décrite, mais cette histoire rappelle utilement qu'un VPN est un logiciel et un matériel avec ses propres vulnérabilités, et non un bouclier magique.

Comment vérifier les correctifs et les indicateurs de compromission

Parce que la chaîne effacerait les journaux, la vérification doit aller au-delà de leur simple lecture. Les administrateurs peuvent prendre ces mesures :

  1. Confirmer le niveau de correctif. Vérifiez la version actuelle de votre appliance par rapport au dernier avis de sécurité du fournisseur et appliquez les mises à jour disponibles.
  2. Utiliser les outils d'intégrité du fournisseur, sans les considérer comme définitifs. Ils sont utiles, mais un résultat propre ne doit pas être votre seule preuve.
  3. S'appuyer sur une journalisation indépendante. Transmettez les journaux à un système externe (un serveur de journaux distinct ou un SIEM) en temps réel, afin qu'un attaquant qui efface les entrées locales ne puisse pas effacer la copie.
  4. Rechercher les lacunes, pas seulement les événements. Des trous inexpliqués dans les chronologies de journaux, des rotations soudaines de journaux ou des périodes manquantes peuvent eux-mêmes être un signal d'alerte.
  5. Examiner les enregistrements côté réseau. Les journaux de pare-feu, DNS et authentification d'autres systèmes peuvent montrer des connexions inhabituelles vers ou depuis la passerelle même si les enregistrements propres à la passerelle ont disparu.
  6. Renouveler les identifiants en cas de doute. Si vous ne pouvez pas exclure une compromission, réinitialiser les comptes et secrets liés à l'appliance est une mesure prudente.

Si vous suspectez une intrusion, envisagez de faire appel à un spécialiste de la réponse aux incidents, car une attaque auto-nettoyante est difficile à évaluer seul.

Pourquoi le Patch Tuesday record et les détournements de sauvegardes chez les MSP augmentent les enjeux

L'élément Ivanti n'est pas arrivé seul. Le récapitulatif notait également un Patch Tuesday record de 1 413 CVE, ce qui signifie que les équipes informatiques font face à un très grand volume de correctifs à trier au moment même où elles doivent corriger des appareils de périphérie comme les passerelles VPN. Quand tout est urgent, la priorisation devient le vrai défi, et les appliances exposées à Internet devraient figurer en haut de la liste.

Le récapitulatif rapportait aussi des serveurs de sauvegarde de MSP détournés. Les sauvegardes sont censées être le filet de sécurité, et les MSP détiennent l'accès à de nombreux environnements clients à la fois, compromettre cette couche peut donc multiplier les dégâts. Combiné aux attaques effaçant les journaux, cela souligne pourquoi les organisations doivent conserver des sauvegardes hors ligne ou immuables et une surveillance indépendante.

Pour un contexte plus large sur la façon dont les attaquants enchaînent les failles, consultez notre couverture d'une chaîne zero-day alimentée par l'IA et 543K secrets actifs exposés. Pour une autre vue hebdomadaire récente du paysage des menaces, lisez le récapitulatif de sécurité du 11 octobre.

Ce que cela signifie pour vous

Si vous utilisez une application VPN grand public, cette histoire n'est pas une raison de paniquer ni d'arrêter de l'utiliser. Maintenez l'application à jour, comme tout autre logiciel. Si vous travaillez pour une organisation qui utilise Ivanti, demandez à votre équipe informatique ou de sécurité si la passerelle est corrigée et si les journaux sont stockés quelque part où un attaquant ne peut pas accéder. Si vous administrez vous-même un tel appareil, considérez la chaîne d'exploitation Ivanti VPN effaçant les journaux comme une invitation à vérifier, et non à supposer.

Points clés à retenir

  • Confirmez que votre appliance ou client VPN est entièrement corrigé selon les derniers avis du fournisseur.
  • Ne vous fiez pas aux journaux locaux seuls ; envoyez-les à un système indépendant et examinez d'autres enregistrements réseau.
  • Priorisez les passerelles exposées à Internet pendant les cycles de correctifs intensifs.
  • Gardez les sauvegardes isolées afin qu'un serveur de sauvegarde détourné ne puisse pas annuler votre plan de récupération.

La chaîne d'exploitation Ivanti VPN effaçant les journaux rappelle que l'absence de preuve n'est pas une preuve de sécurité. Vérifiez l'état de vos correctifs dès aujourd'hui, et examinez vos journaux par des moyens indépendants plutôt que via l'appareil lui-même.