CISA ajoute deux failles de VPN Ivanti au catalogue des vulnérabilités exploitées comme date limite fédérale pour les terres de bugs critiques aujourd'hui
Le 30 octobre, la U.S. Cybersecurity and Infrastructure Security Agency (CISA) a mis à jour son alerte de sécurité afin d'ajouter deux vulnérabilités dans l'appareil VPN d'entreprise Ivanti Connect Secure, CVE-2026-111357 et CVE-2026-118527, à son catalogue de vulnérabilités exploitées connues (KEV), et la date limite de remise en état qu'elle a fixée aux agences civiles fédérales pour la plus critique est aujourd'hui, le 2 novembre. Ivanti Connect Secure est largement utilisé pour l'accès à distance par les entreprises et les organismes gouvernementaux, et CISA dit que les acteurs de la menace exploitent activement les failles.
Selon l'alerte de la CISA, les trois failles s'enchaînent : combinées avec CVE-2026-104935, qui a été ajouté au catalogue le 13 octobre, elles permettent à un attaquant distant et non authentifié d'exécuter des commandes arbitraires, voler des identifiants et exfiltrer des données. Les versions touchées sont Connect Secure 25.1.1.2 et antérieures, 25.1.2.2 et antérieures, et 22.8R2.5 et antérieures. L'entreprise de sécurité Volexity dit qu'un acteur qu'elle suit comme UTA0576 exploite la chaîne depuis début octobre, dans un cas se cassant dans un appareil entièrement patché, obtenant un accès racine et allant droit pour les identifiants Active Directory.
Parmi les deux défauts nouvellement inscrits, le CVE-2026-111357 est un problème d'authentification manquant coté CVSS 8.8 qui permet à un attaquant local authentifié de s'enraciner; sa date limite fédérale est le 2 novembre. CVE-2026-118527, un problème d'identification prévisible coté CVSS 4.3, permet à un attaquant à distance authentifié de télécharger des fichiers à un emplacement connu sur disque; sa date limite est le 13 novembre. Ivanti a publié des constructions fixes 22.8R2.6 et 25.1.1.3 le 29 octobre.
La CISA exhorte chaque organisation qui exécute des appareils affectés à mettre à jour immédiatement la dernière version. Il avertit également que l'outil de vérification de l'intégrité d'Ivanti pourrait ne pas détecter l'exploitation de CVE-2026-104935 parce que les commandes de l'agresseur s'exécutent en mémoire; les organisations qui soupçonnent un compromis ont besoin de réseau et de mémoire médico-légale et devraient suivre les procédures de récupération d'Ivanti, réinitialisant les mots de passe, certificats et clés de compte. La CISA note également que Connect Secure version 22,8 atteint la fin de vie le 31 janvier 2027.
Source : GSM · États-Unis (édition en anglais · édition originale en chinois)
Photo: 美国国土安全部总部（圣伊丽莎白园区）航拍。照片：Michael Hvozda／美国海岸警卫队，公共领域，经 Wikimedia Commons。
