Ivanti VPN : versions 22.8R2.6 et 25.1.1.3 à installer d'urgence

Deux correctifs attendus depuis le 13 octobre

Les deux dernières failles zero-day exploitées dans les passerelles VPN Ivanti Connect Secure sont corrigées depuis le 29 octobre, rapporte Clubic.

Les identifiants concernés sont CVE-2026-111357, une élévation de privilèges donnant les droits root, et CVE-2026-118527, qui permet à un utilisateur authentifié de déposer un fichier arbitraire sur l'équipement. Elles complètent CVE-2026-104935, un contournement d'authentification corrigé le 13 octobre.

Les administrateurs doivent installer les versions 22.8R2.6 ou 25.1.1.3 selon leur branche logicielle. Selon SecurityWeek, les entreprises qui avaient déployé 25.1.1.2 ou 22.8R2.5 en octobre doivent donc procéder à une seconde mise à jour.

Pour connaître la version installée, il faut se connecter à la console d'administration de la passerelle : le numéro de version s'affiche sur la page d'accueil de l'interface et, de façon détaillée, dans le menu System > Upgrade/Downgrade (ou l'entrée équivalente selon la branche logicielle), qui liste la version active et les images installées. C'est ce numéro qu'il faut comparer à 22.8R2.6 et 25.1.1.3.

Une chaîne de trois failles, exploitée depuis début octobre

En combinant les trois vulnérabilités, un attaquant extérieur obtenait l'exécution de code avec les privilèges root sur un équipement pourtant à jour, sans identifiants valides. SecurityWeek note que CVE-2026-111357 est notée 8.8 sur l'échelle CVSS, contre 4.3 pour CVE-2026-118527.

L'exploitation a été découverte par Volexity lors d'une intervention chez un de ses clients. La société l'attribue à un acteur jusque-là inconnu, qu'elle suit sous le nom UTA0576, et situe les premiers signes d'activité au 3 octobre.

Le groupe visait surtout le vol d'identifiants, l'exfiltration de données, la cartographie du réseau et la manipulation des journaux.

La CISA, l'agence américaine de cybersécurité, a inscrit les deux nouvelles vulnérabilités à son catalogue des failles activement exploitées (KEV). Cette inscription oblige les agences fédérales américaines à corriger leurs équipements dans le délai fixé par le catalogue, et sert de signal de priorité pour les autres organisations.

🚨 CISA ADDS 2 MORE IVANTI CONNECT SECURE FLAWS TO KEV, EXPLOITED IN CHAIN (CVE-2026-111357, CVE-2026-118527) CISA added two more Ivanti Connect Secure (ICS) VPN bugs to its Known Exploited Vulnerabilities catalog today, based on evidence of active exploitation. Both chain with…

Voir sur X

Patcher ne suffit pas à écarter une compromission

La mise à jour ne permet pas d'exclure une intrusion antérieure. UTA0576 effaçait ses traces après chaque commande, échappant ainsi à l'outil de vérification d'intégrité d'Ivanti.

Concrètement, la recherche d'indices de compromission s'appuie d'abord sur les indicateurs publiés par Volexity dans son rapport (adresses IP, fichiers et artefacts associés à UTA0576), à comparer avec les journaux de la passerelle. Côté équipement, les signaux à examiner sont les authentifications inhabituelles — connexions réussies depuis des adresses ou des pays inattendus, sessions en dehors des horaires de travail, comptes d'administration utilisés sans raison —, les trous ou effacements dans les journaux, et les fichiers apparus sur l'appliance en dehors des opérations de maintenance. Le vol d'identifiants étant l'objectif principal du groupe, les tentatives de réutilisation de comptes VPN ailleurs dans le système d'information méritent la même attention.

En cas d'intrusion avérée, il faut isoler les équipements, mesurer l'étendue de l'attaque, puis réinitialiser les appareils et renouveler identifiants, certificats et autres secrets potentiellement exposés.

« The latest release addresses all vulnerabilities which were chained and exploited in the wild », Ivanti, éditeur de Connect Secure, cité par SecurityWeek.

Ivanti précise avoir diffusé son premier correctif sans attendre : il était déjà en phase de validation lorsque les autres failles ont été identifiées, et il fermait la principale voie d'exploitation.

La pression cyber monte sur les TPE et PME

Le dispositif Cybermalveillance.gouv.fr a franchi en 2025 le cap des 500 000 victimes assistées, en hausse de 20 % sur un an, selon le rapport relayé par France Num. Les entreprises représentent 6 % des demandes, principalement des TPE et PME, en progression de 73 %.

Une entreprise sur huit déclare des coûts dépassant 230 000 euros après un incident, toujours d'après le rapport Hiscox 2023 cité par data.gouv.fr. France Num estime par ailleurs qu'un tiers seulement des TPE et PME est correctement paré face aux menaces cyber.

Ce que ça change pour votre entreprise

Toute société qui expose un VPN Ivanti Connect Secure doit vérifier sa version et appliquer 22.8R2.6 ou 25.1.1.3, y compris si elle a déjà appliqué le correctif d'octobre. La mise à jour ne vaut pas quitus : elle doit s'accompagner d'une recherche d'indices d'intrusion et, le cas échéant, d'un renouvellement des identifiants et certificats, puisque le vol de secrets était l'objectif principal des attaquants.

Questions fréquentes

Comment savoir quelle version de Connect Secure j'utilise ? Connectez-vous à la console d'administration de la passerelle. La version s'affiche dans l'interface d'administration et, dans le détail, via le menu System > Upgrade/Downgrade (ou son équivalent selon la branche), qui indique l'image active. Comparez ce numéro aux versions corrigées : 22.8R2.6 et 25.1.1.3.

Dois-je mettre à jour si j'ai déjà installé le correctif du 13 octobre ? Oui. Le correctif du 13 octobre ne traitait que CVE-2026-104935. Les versions 25.1.1.2 et 22.8R2.5 déployées en octobre restent exposées à CVE-2026-111357 et CVE-2026-118527 : une seconde mise à jour vers 22.8R2.6 ou 25.1.1.3 est nécessaire.

Que faire si je trouve des traces d'intrusion ? Isolez immédiatement l'équipement concerné, évaluez l'étendue de l'attaque, puis réinitialisez l'appliance et renouvelez tous les identifiants, certificats et secrets susceptibles d'avoir été exposés. L'outil de vérification d'intégrité d'Ivanti ne suffit pas : UTA0576 effaçait ses traces après chaque commande, d'où l'intérêt de confronter vos journaux aux indicateurs publiés par Volexity.

Faut-il couper le VPN en attendant la mise à jour ? Les correctifs étant disponibles depuis le 29 octobre, la priorité est de les appliquer sans délai plutôt que d'attendre. Si la mise à jour ne peut pas être menée rapidement sur un équipement exposé à Internet, restreindre ou suspendre son exposition le temps de l'intervention limite le risque, la chaîne de failles permettant une exécution de code avec les droits root sans identifiants valides.