Une vulnérabilité zero-day activement exploitée affecte Ivanti Connect Secure (ICS) et permet l’exécution de code à distance sans authentification ; les administrateurs doivent appliquer les correctifs disponibles en priorité.
Versions affectées et identifiants
Ivanti Connect Secure (ICS) 25.1.1.1 et versions antérieures
Ivanti Connect Secure (ICS) 25.1.2.2 et versions antérieures
Ivanti Connect Secure (ICS) 22.8R2.4 et versions antérieures
Type : CWE-290 (contournement d’authentification par usurpation)
CVE/CVSS : CVE-2026-104935 : 8.6 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L)
Détails techniques
CVE-2026-104935 est un contournement d’authentification par usurpation qui permet à un attaquant distant et non authentifié de bypasser l’authentification et d’exécuter des commandes arbitraires sur une appliance vulnérable, sans privilèges préalables ni interaction utilisateur. Selon Volexity, la chaîne d’exploitation observée en octobre 2026 combine trois failles pour aboutir à une exécution de code en root :
– contournement d’authentification : des requêtes vers welcome.cgi pouvaient être routées vers des fichiers CGI arbitraires, y compris des fichiers normalement protégés ; l’attaque exploite notamment des requêtes contenant l’en-tête HTTP X-DSCGI-PATH ;
– exécution de code à distance : une vulnérabilité d’écriture de fichier impliquant wu.cgi permettait d’exécuter des commandes en tant qu’utilisateur cgi-server de l’appliance ;
– élévation de privilèges : une vulnérabilité distincte liée au service privilégié dsinvoked et au magasin de configuration DSCache permettait de passer à des privilèges root.
Ivanti regroupe le contournement d’authentification et la RCE sous le même identifiant CVE-2026-104935 et des correctifs sont disponibles pour ces éléments ; la correction pour la vulnérabilité d’élévation de privilèges reste, selon la source, en attente.
Impact observé et comportement de l’attaquant
Ivanti et CISA confirment que la vulnérabilité est exploitée dans la nature. Volexity attribue l’activité observée à un acteur suivi comme UTA0576. L’investigation montre que l’attaquant a exécuté à plusieurs reprises la chaîne d’exploit pour lancer des commandes et renvoyer les résultats via des réponses HTTPS, au lieu d’installer une web shell persistante ou un canal classique de commande et contrôle.
Après exploitation, l’attaquant a tenté d’extraire des identifiants LDAP stockés, de récupérer des mots de passe LAPS et des clés de récupération BitLocker, d’intercepter le trafic LDAP et d’effectuer des attaques par balayage de mots de passe contre Active Directory. L’attaquant a également modifié des journaux d’audit et restauré des modifications en mémoire pour dissimuler son activité.
Mesures recommandées
Patch
Le Centre for Cybersecurity Belgium (CCB) recommande d’installer en priorité les mises à jour pour les dispositifs vulnérables après tests appropriés. Ivanti indique que, même si les versions 22.7.14 et antérieures ne sont pas affectées par cette vulnérabilité, les lignes de publication 22.7.X et 22.8.X atteignent leur fin de vie le 31 janvier 2027 et que les clients devraient planifier une migration vers la dernière branche 25.1.X. Pour les clients sur 22.8R2.4 et antérieurs qui ne peuvent pas migrer immédiatement, un correctif temporaire est disponible en 22.8R2.5.
Surveillance et détection
Le CCB et Volexity recommandent de renforcer la détection et d’enquêter sur les activités suivantes :
1. Surveiller les requêtes HTTP et les tentatives de contournement d’authentification : rechercher un nombre inhabituel de requêtes vers /dana-na/auth/url_default/welcome.cgi et inspecter les requêtes contenant l’en-tête X-DSCGI-PATH, en particulier lorsque sa valeur ne correspond pas au chemin demandé (ex. références à /home/webserver/htdocs/dana/fb/smb/wu.cgi ou à des fichiers sous /home/runtime/tmp/).
2. Inspecter l’appliance pour fichiers et processus suspects : rechercher des fichiers inattendus dans /tmp/ et /data/.icscap/, scripts, fichiers compressés ou encodés et traces de capture de paquets ; observer des processus ou exécutables depuis des répertoires cachés et des exécutions Python ou Perl inhabituelles.
3. Examiner les journaux et activités privilégiées : analyser les journaux d’authentification, de débogage et les logs Linux (notamment /home/runtime/dlogs/debuglog et /var/log/audit/audit.log) pour accès inattendus, exécution de commandes, élévations de privilèges ou lacunes inexpliquées ; préserver les journaux avant toute opération de remédiation.
4. Investiguer les mouvements latéraux et le vol de crédentiels : revoir le trafic LDAP (port TCP 389) pour requêtes et transferts suspects, surveiller les recherches visant des attributs contenant des mots de passe, les opérations Kerberos inhabituelles et le reconnaissance émanant de l’appliance ; faire tourner les identifiants et secrets lorsqu’une compromission est suspectée.
5. Ne pas se fier uniquement à l’Integrity Checker Tool : Volexity a constaté que l’attaquant modifiait du code en mémoire et restaurait des configurations pour masquer son activité, ce qui peut rendre un résultat d’intégrité « propre » insuffisant pour exclure une compromission.
Volexity a également identifié l’adresse IP 108.165.147[.]64 dans l’incident examiné ; cette adresse peut servir d’indicateur complémentaire pour des recherches rétrospectives, sans être suffisante à elle seule pour conclure à une compromission.
En cas de compromission confirmée ou fortement suspectée, suivre les directives de récupération d’Ivanti, évaluer l’accès potentiel aux systèmes connectés et enquêter sur l’exposition d’identifiants ou de données sensibles. Pour signaler un incident, le CCB indique la page : https://ccb.belgium.be/en/cert/report-incident
Les correctifs protègent contre les nouvelles exploitations mais n’effacent pas nécessairement une compromission passée ; conservez des preuves et réalisez des analyses disque, mémoire et réseau appropriées lorsque l’exploitation est suspectée.
