Ivanti Connect Secure : alerte CERT-FR sur CVE-2026-104935 — exploitation active

Ce que déclenche l’alerte

Le 14 octobre 2026, le CERT-FR passe au niveau alerte avec CERTFR-2026-ALE-013 sur Ivanti Connect Secure (ICS). L’avis s’appuie sur le bulletin éditeur du 13 octobre 2026 (CVE-2026-104935). Le résumé officiel décrit une faille permettant une exécution de code arbitraire à distance, une élévation de privilèges et un contournement de la politique de sécurité. Ivanti précise que cette vulnérabilité est activement exploitée — ce qui justifie une réponse opérationnelle plus stricte qu’un simple avis de correctif.

Versions et correctifs firmware

Le périmètre CERT-FR couvre Connect Secure (ICS) 22.8Rx antérieures à 22.8R2.5, 25.1.1.x antérieures à 25.1.1.2 et 25.1.3.x antérieures à 25.1.3.1. La voie de remédiation documentée passe par une montée de version du micrologiciel lorsque le correctif est disponible. En parallèle, l’avis CERTFR-2026-AVI-1311 du même jour élargit la salve octobre 2026 d’Ivanti (Connect Secure, Xtraction antérieur à 2026.4, correctifs Neurons for UEM déjà déployés automatiquement le 16 septembre 2026) avec plusieurs CVE supplémentaires — à croiser si votre parc mélange VPN et outils de gestion Ivanti.

• Inventorier toutes les appliances Connect Secure exposées sur Internet ou en accès distant employé.
• Comparer le firmware affiché aux seuils 22.8R2.5, 25.1.1.2 et 25.1.3.1 avant de clore un ticket.
• Tracer les comptes de service LDAP/Active Directory et les certificats TLS liés à la passerelle — ils entrent dans le plan de rotation si compromission.

Conduite à tenir avant le patch

L’alerte CERT-FR ne se limite pas à « installer le patch ». En première urgence, l’Agence recommande d’isoler totalement l’équipement du réseau (Internet et interne) pour limiter la latéralisation, de réaliser un instantané disque et mémoire sur appliance virtuelle si possible, et d’éviter d’éteindre la machine pour conserver les traces. Les journaux doivent être mis sous séquestre ; une analyse avec les indicateurs de compromission publiés par Volexity (13 octobre 2026) est attendue. Ivanti propose aussi son Integrity Check Tool (ICT) ; le CERT-FR rappelle qu’il exige un accès physique et peut provoquer une interruption de service — à planifier sur les contextes à haute disponibilité.

Si la passerelle est compromise

En cas de compromission avérée ou fortement suspectée, la procédure officielle enchaîne signalement au CERT-FR (avec vos CSIRT métier), factory reset (avec la réserve que certaines menaces peuvent persister), puis remontée firmware. Surtout, les secrets ayant transité ou résidé sur l’appliance sont à considérer compromis : réinitialisation des secrets LDAP/AD (le CERT-FR signale des latéralisations via ces comptes), révocation et réémission des certificats (machines, auth utilisateur, signature de code, TLS d’interface), mot de passe admin, clés API, comptes locaux et tickets Kerberos des comptes de service, plus réinitialisation des authentifications serveurs de licence. Une recherche de latéralisation depuis l’équipement (IoC, connexions Internet sortantes, corrélation IP) complète le cycle.