Réponse courte : trois failles d’Ivanti Connect Secure (CVE-2026-104935, CVE-2026-111357 et CVE-2026-118527) sont activement exploitées. Le CERT-FR a mis à jour son alerte le 2 novembre 2026. Si votre PME utilise ce VPN, passez en 22.8R2.6, 25.1.1.3 ou 25.1.3.1, puis cherchez des traces de compromission, car le correctif seul ne suffit pas.
Les failles Ivanti Connect Secure font à nouveau la une. Ce boîtier VPN SSL sert à des milliers d’entreprises pour donner accès au réseau interne aux salariés en télétravail. Le 29 octobre 2026, Ivanti a ajouté deux nouvelles vulnérabilités exploitées à son avis de sécurité du 13 octobre. Le CERT-FR (ANSSI) a relayé l’information dans son alerte CERTFR-2026-ALE-013, mise à jour le 2 novembre. Voici ce qu’il faut savoir et faire, sans jargon inutile.
Que s’est-il passé exactement avec Ivanti Connect Secure ?
Des attaquants ont enchaîné trois failles pour prendre le contrôle total des boîtiers VPN Ivanti Connect Secure, avant même que les correctifs soient disponibles.
La chronologie est la suivante :
- Début octobre 2026 : la société Volexity détecte une activité malveillante sur des boîtiers clients.
- 13 octobre 2026 : Ivanti publie un avis pour CVE-2026-104935, un contournement d’authentification exploitable à distance sans identifiant (score CVSS 8,6). La CISA américaine l’ajoute le jour même à son catalogue des failles exploitées.
- 14 octobre 2026 : le CERT-FR publie son alerte.
- 29 octobre 2026 : Ivanti corrige deux failles supplémentaires utilisées dans la même chaîne : CVE-2026-111357 (élévation de privilèges, CVSS 8,8) et CVE-2026-118527 (dépôt de fichier arbitraire sur le disque, CVSS 4,3).
- 2 novembre 2026 : le CERT-FR met à jour son alerte avec ces deux CVE et les versions corrigées.
Selon Volexity, cité par The Stack, l’attaquant (suivi sous le nom UTA0576) visait le vol d’identifiants, l’exfiltration de données, l’effacement de journaux et la reconnaissance du réseau.
Pourquoi cette attaque est-elle plus dangereuse que d’habitude ?
Parce qu’elle ne laisse presque aucune trace : pas de porte dérobée, pas de web shell, pas de serveur de commande séparé.
L’attaquant relançait toute la chaîne d’exploitation (contournement d’authentification, exécution de code, élévation de privilèges) pour chaque commande. Les ordres et les résultats transitaient directement dans les requêtes HTTPS de l’exploit. Ivanti reconnaît que les indicateurs de compromission fiables sont limités.
Conséquence concrète : un boîtier peut avoir été compromis sans qu’aucun fichier suspect n’y reste. Mettre à jour ferme la porte, mais ne dit rien sur ce qui a déjà été volé. C’est pourquoi le CERT-FR insiste sur la recherche de compromission et le renouvellement des secrets.
Ce n’est pas un cas isolé : d’après The Stack, 26 vulnérabilités Ivanti ont été ajoutées au catalogue KEV de la CISA depuis début 2024, dont six en 2026.
Quelles versions sont touchées et lesquelles corrigent les failles ?
Toutes les versions antérieures à 22.8R2.6, 25.1.1.3 et 25.1.3.1 sont concernées, selon les branches.
| Branche installée | Versions vulnérables | Version à installer |
|---|---|---|
| 22.8Rx | avant 22.8R2.6 | 22.8R2.6 |
| 25.1.1.x | avant 25.1.1.3 | 25.1.1.3 |
| 25.1.2.x | avant 25.1.3.1 | 25.1.3.1 |
| 22.7.x et antérieures | non concernées par CVE-2026-104935 (selon Rapid7) | vérifier le support de la version |
Ivanti indique que la branche 25.1.3.x n’est pas touchée par CVE-2026-111357 ni CVE-2026-118527. Attention : une version ancienne non concernée par ces failles reste souvent hors support, donc exposée à d’autres risques.
Que doit faire une PME qui utilise ce VPN, dès aujourd’hui ?
Identifier la version, isoler et analyser si besoin, mettre à jour, puis renouveler les secrets en cas de doute.
Voici une checklist inspirée des recommandations du CERT-FR, adaptée à une petite structure :
- Vérifiez la version de votre boîtier dans la console d’administration. Si vous ne savez pas qui la gère, appelez votre prestataire aujourd’hui.
- Si la version est vulnérable, ne l’éteignez pas brutalement : le CERT-FR conseille d’isoler l’équipement d’Internet et du réseau interne, et de conserver les traces (instantané disque et mémoire pour une appliance virtuelle, mise de côté des journaux).
- Cherchez des signes de compromission avec les indicateurs publiés par Volexity et l’outil Integrity Checker Tool (ICT) externe d’Ivanti. Ce dernier peut nécessiter un accès physique et couper le service.
- Appliquez le correctif (22.8R2.6, 25.1.1.3 ou 25.1.3.1) en urgence, hors cycle habituel.
- En cas de compromission avérée : signalez l’incident au CERT-FR, réinitialisez le boîtier en configuration usine, puis considérez comme volés tous les secrets qui y étaient stockés ou y ont transité.
- Renouvelez les secrets : mot de passe administrateur, comptes locaux, compte de service LDAP ou Active Directory, clés d’API, certificats TLS et certificats d’authentification.
- Surveillez ensuite l’activité des comptes liés au VPN, en particulier le compte de service de l’annuaire. Le CERT-FR signale des mouvements latéraux réalisés avec ces secrets.
Si vous n’avez pas les compétences en interne, notre service de réponse à incident cyber peut prendre le relais dans la journée.
L’avis de l’expert : comment éviter d’être pris de court la prochaine fois ?
La réponse tient en un mot : inventaire. On ne corrige vite que ce que l’on sait posséder.
Chez les grands comptes où j’ai piloté le patch management, les équipements exposés sur Internet (VPN, pare-feu, passerelles de messagerie) avaient une règle à part : correctif critique appliqué sous 48 heures, sans attendre la fenêtre de maintenance mensuelle. Les postes de travail suivaient un autre rythme. Cette distinction manque dans beaucoup de PME, où le boîtier VPN a été installé une fois puis oublié.
Trois habitudes simples font la différence :
- Une liste à jour de tout ce qui est exposé sur Internet, avec la version et la personne responsable.
- Un abonnement aux alertes du CERT-FR et de l’éditeur, lu chaque jour par quelqu’un de désigné.
- Un plan écrit qui dit qui décide de couper le VPN, et comment les salariés travaillent pendant ce temps.
Le cas Ivanti montre aussi une limite : quand la faille est exploitée avant le correctif, la rapidité ne suffit plus. Il faut pouvoir détecter et réagir. C’est l’objet d’une démarche de gestion des correctifs structurée, couplée à une surveillance. Pour comprendre l’enjeu plus largement, relisez notre article sur l’importance des mises à jour de sécurité.
Et pour les PME du 92 ?
Dans les Hauts-de-Seine, beaucoup de cabinets, agences et PME ont généralisé le télétravail : le VPN est devenu la porte d’entrée principale du réseau.
Que vous utilisiez Ivanti, Fortinet, SonicWall ou Cisco, la question est la même : savez-vous quelle version tourne aujourd’hui sur votre passerelle ? Si la réponse est non, un audit de cybersécurité PME permet de dresser l’inventaire des équipements exposés et de prioriser les actions.
Basés à La Garenne-Colombes, nous intervenons 24 h/24 et 7 j/7 dans tout le 92, et à distance partout en France. Pour un suivi continu des mises à jour, nos offres d’infogérance PME démarrent à 19,99 € HT par poste et par mois (Essentiel), avec des formules Sérénité à 39,99 € et Premium à 79,99 € HT.
Questions fréquentes
Mon entreprise n’utilise pas Ivanti, suis-je concerné ?
Pas par ces trois failles. En revanche, les VPN de tous les grands éditeurs sont régulièrement ciblés. Vérifiez que votre propre passerelle est à jour et suivez les alertes de son éditeur.
Le correctif suffit-il si mon boîtier était vulnérable ?
Non. L’attaque laisse très peu de traces, donc un boîtier peut avoir été compromis avant la mise à jour. Le CERT-FR recommande de rechercher des signes de compromission et, en cas de doute, de renouveler tous les secrets liés à l’équipement.
Faut-il couper le VPN en attendant ?
Si aucun correctif n’est applicable pour votre version, le CERT-FR conseille de déconnecter l’équipement d’Internet quand c’est possible. Prévoyez une solution temporaire pour vos salariés à distance.
Quels secrets faut-il changer en cas de compromission ?
Le mot de passe administrateur, les comptes locaux et de service, le compte LDAP ou Active Directory, les clés d’API et les certificats. Tout ce qui était stocké sur le boîtier ou y passait en clair doit être considéré comme volé.
Qui peut vérifier mon boîtier VPN si je n’ai pas de service informatique ?
Un prestataire spécialisé peut contrôler la version, appliquer le correctif et lancer l’outil d’intégrité d’Ivanti. Prévoyez une courte coupure du VPN et demandez un devis : devis gratuit sous 24 h.
En résumé
- Trois failles Ivanti Connect Secure sont exploitées ; les versions corrigées sont 22.8R2.6, 25.1.1.3 et 25.1.3.1.
- L’attaque laisse peu de traces : après le correctif, cherchez une compromission et renouvelez les secrets si besoin.
- Traitez vos équipements exposés sur Internet en priorité absolue, sous 48 heures.
Un doute sur votre VPN ou vos équipements exposés ? Découvrez notre service de gestion des correctifs ou appelez le 07 69 36 92 60, 24 h/24 et 7 j/7.
Article rédigé par Kevin Aquino, Technical Lead patch management et fondateur de SOSPC82
Sources :
- CERT-FR – Alerte CERTFR-2026-ALE-013, Multiples vulnérabilités dans Ivanti Connect Secure (mise à jour du 2 novembre 2026)
- The Stack – Ivanti patches two more CVEs amid highly unusual Connect Secure exploitation (29 octobre 2026)
- Rapid7 – Ivanti Connect Secure zero-day exploited in the wild (CVE-2026-104935)