Ivanti Connect Secure : deux failles exploitées ajoutées à l’alerte

Deux failles supplémentaires signalées comme exploitées

Le CERT-FR a enrichi son alerte sur Ivanti Connect Secure (ICS). Selon sa mise à jour, Ivanti a ajouté le 29 octobre 2026 deux vulnérabilités à son bulletin : CVE-2026-111357 et CVE-2026-118527. Elles permettent à un attaquant authentifié d’élever ses privilèges et de téléverser un fichier arbitraire sur un emplacement connu du disque.

Ivanti les signale comme activement exploitées, rapporte le CERT-FR. Elles s’ajoutent à CVE-2026-104935, déjà signalée comme exploitée dans l’alerte initiale. La décision attendue est donc d’organiser la vérification de l’équipement et sa correction, en tenant compte d’une éventuelle compromission. Alerte du CERT-FR.

Les entreprises équipées d’ICS sont concernées

L’avis du CERT-FR recense les systèmes affectés suivants :

• la branche 22.8Rx avant 22.8R2.6 ;
• la branche 25.1.1.x avant 25.1.1.3 ;
• la branche 25.1.2.x avant 25.1.3.1.

Une exception doit rester distincte de cette liste globale : Ivanti précise que les versions 25.1.3.x ne sont pas affectées par les deux nouvelles vulnérabilités, CVE-2026-111357 et CVE-2026-118527. Cette précision porte sur ces deux identifiants. Avis du CERT-FR.

La personne chargée de l’intervention doit aussi prévoir les contraintes du contrôle d’intégrité externe recommandé par l’éditeur : selon le CERT-FR, il exige un accès physique et peut interrompre le service. Les configurations à haute disponibilité doivent en tenir compte.

Une alerte initiale du 14 octobre, actualisée le 2 novembre

L’alerte a été publiée le 14 octobre 2026. Sa mise à jour du 2 novembre ajoute les deux nouveaux identifiants et les versions correctives associées. Elle indique que des correctifs ont été mis à disposition pour les branches 22.8Rx et 25.1.1.x.

Le CERT-FR ne fixe pas de date limite. L’exploitation active signalée justifie de traiter la vérification immédiatement. Ses recommandations commencent par l’isolement et la collecte des traces, avant de distinguer les situations avec ou sans compromission.

Organiser l’intervention et la remise en service

• Isoler l’équipement concerné, d’Internet comme du réseau interne, conformément à l’ordre de priorité du CERT-FR. Pour une appliance virtuelle, réaliser un instantané du système de fichiers et de la mémoire vive ; éviter si possible l’extinction et conserver les journaux sous séquestre.
• Rechercher une compromission à l’aide des indicateurs référencés dans l’alerte et du contrôle d’intégrité externe recommandé par l’éditeur. Préparer l’accès physique et l’interruption potentielle, y compris en haute disponibilité.
• Si une compromission est identifiée, signaler l’incident au CERT-FR en copiant les éventuels CSIRT métier, puis suivre les mesures de réinitialisation et de mise à jour. Le CERT-FR avertit que certaines menaces peuvent persister après une réinitialisation : les contextes sensibles doivent en tenir compte.
• Dans ce cas, renouveler les secrets concernés : secrets LDAP ou Active Directory si configurés, mot de passe d’administration, clés d’API, mots de passe des comptes locaux et de service, moyens d’authentification des comptes de service et authentifications des serveurs de licence. Révoquer et réémettre tous les certificats présents, notamment ceux des machines, des utilisateurs, de signature de code et de l’interface TLS exposée. Les secrets stockés ou ayant transité en clair sont à considérer comme compromis.
• Après isolement et collecte, rechercher une propagation depuis l’équipement compromis : indicateurs, connexions ou tentatives vers Internet, puis recherche de ces destinations sur les autres machines.
• Sans compromission identifiée, appliquer la mise à jour correctrice disponible. À défaut, contacter l’assistance Ivanti et, dans la mesure du possible, déconnecter l’équipement d’Internet. Surveiller les comptes et services associés, notamment LDAP ou Active Directory s’ils sont configurés.

Pour l’entretien des protections confiées, VCSTS prend en charge les mises à jour des composants couverts, la revue des comptes et règles et le traitement des alertes, avec un responsable et une fréquence ou un déclencheur convenu pour chaque opération.