L’alerte CISA du 13 octobre concernant Ivanti Connect Secure n’était pas une précaution contre un défaut hypothétique. Des attaquants avaient déjà enchaîné contournement d’authentification et exécution contre un équipement alors entièrement corrigé pour sa branche. L’agence a ajouté CVE-2026-104935 au catalogue des vulnérabilités exploitées et fixé au 16 octobre l’échéance de traitement des agences civiles fédérales.
Le correctif immédiat et l’incident non élucidé sont deux problèmes différents. Volexity décrit une exploitation répétée, des modifications temporaires en mémoire, une collecte d’identifiants et un effacement sélectif des journaux, sans web shell persistant classique. Mettre à jour ferme l’entrée documentée, mais ne révoque pas les secrets volés et ne prouve pas l’absence d’accès antérieur.
L’échéance et les versions concernées
La faille a un score CVSS de 8,6. Elle permet des commandes à distance avec une faible complexité, sans compte préalable ni interaction humaine. Connect Secure relie internet, applications internes et services d’identité. Un défaut d’authentification y donne donc une position de confiance particulièrement précieuse.
Les reportages achevés citent comme vulnérables 25.1.1.1 et versions antérieures de cette branche, 25.1.2.2 et antérieures, ainsi que 22.8R2.4 et antérieures. Les versions corrigées incluent 25.1.1.2, 25.1.3.0, 25.1.3.1 et 22.8R2.5. Elles ne constituent pas des branches librement interchangeables : il faut vérifier l’installation et le parcours de mise à niveau pris en charge dans l’avis Ivanti.
Les sources décrivent l’exception ancienne avec une précision différente : le texte principal indique 22.7.x et antérieures, le reportage fusionné fondé sur le CVE précise 22.7R2.14 et antérieures. Aucun énoncé ne garantit la sécurité générale et ne justifie un retour en arrière. D’autres failles ou une fin de support peuvent concerner ces versions.
La mise à jour KEV du 13 octobre ajoutait aussi Windows Shell CVE-2026-96951. Ce problème distinct demande une action de l’utilisateur, contrairement au chemin Ivanti directement accessible sans authentification. Les deux entrées avaient une échéance au 16 octobre pour les agences Federal Civilian Executive Branch selon les exigences BOD 26-04 citées. Les acteurs privés n’héritent pas automatiquement de cette obligation, mais partagent l’exposition technique. Windows est ici un contexte, pas une deuxième faille Ivanti.
KEV établit une exploitation observée, pas la compromission de chaque équipement exposé ni une campagne massive. Le champ d’usage par rançongiciel était inconnu, non confirmé. La mention d’une exploitation connue limitée par Ivanti décrit également sa visibilité, pas une limite fiable du nombre de victimes.
Une passerelle alors à jour a été attaquée avant l’annonce
Volexity a commencé son enquête le 5 octobre et retrouvé une exploitation remontant au 3 octobre sur Connect Secure 22.8R2.4, Build 19097, alors à jour dans sa branche. Un autre fournisseur de renseignement aurait observé des signes liés dès le 1er octobre. Ce sont des observations distinctes ; la date antérieure ne doit pas être attribuée à une confirmation de Volexity.
L’entreprise suit l’activité inconnue sous UTA0576. C’est un identifiant analytique, pas une organisation réelle ou un soutien gouvernemental prouvé. Elle a estimé avec une faible confiance une motivation criminelle plutôt que d’espionnage. L’opération a été interrompue avant de déterminer l’objectif final.
Ivanti affirme avoir trouvé une partie du problème dans son programme de sécurité produit et l’avoir corrigée dans la version 25.1.3.0 de juillet 2026. L’exploitation s’est produite pendant le rétroportage vers d’autres versions prises en charge. Il existait donc un écart réel de protection entre branches, mais le dossier public n’établit pas quand Ivanti a compris toute la chaîne ou connu les attaques. Le travail de compatibilité et de rétroportage ne permet pas d’affirmer sans preuve un retard volontaire.
Le contexte inclut CVE-2025-0282, dépassement de tampon sur pile exploité en janvier 2025, et CVE-2025-22457, ensuite associée à de l’espionnage lié à la Chine. Ces affaires n’identifient pas UTA0576 et ne prouvent pas l’insécurité de tous les appareils. Volexity a aussi comparé la récupération de secrets dans les captures réseau aux attaques contre SonicWall, montrant l’intérêt plus général des infrastructures de périphérie de confiance.
Trois faiblesses ont transformé l’accès public en root
La chaîne reconstituée commençait par un désaccord entre autorisation et routage. Une requête vers le composant public welcome.cgi pouvait indiquer une autre destination dans l’en-tête X-DSCGI-PATH. L’équipement contrôlait l’URL publique, puis routait la requête vers le gestionnaire protégé de téléversement wu.cgi.
Ce gestionnaire écrivait un fichier avant de vérifier la validité de l’archive ZIP. Un script Perl déguisé par son extension existait brièvement avant rejet et suppression. Des requêtes parallèles tentaient de devancer ce nettoyage, permettant l’exécution sous le compte restreint cgi-server. C’est un défaut de traitement dépendant du temps, pas la preuve que les ZIP ordinaires soient exécutables par nature.
Ivanti a regroupé contournement d’authentification et exécution distante dans CVE-2026-104935. Une élévation distincte utilisait un service privilégié faisant confiance à une configuration manipulée et une bibliothèque modifiée en mémoire. Une tâche légitime de maintenance était redirigée vers un script malveillant exécuté comme root. L’opérateur vérifiait l’accès aux informations de mots de passe protégées puis rétablissait configuration et instruction mémoire.
Lors de l’achèvement des reportages, Ivanti prévoyait une correction ultérieure de cette élévation. Cela ne signifie pas que la mise à jour du 13 octobre laisse ouverte l’entrée non authentifiée documentée : bloquer entrée et exécution rompt cette chaîne précise. Les versions suivantes restent néanmoins pertinentes.
L’opérateur réutilisait le canal d’exploitation pour échanger commandes et résultats par HTTPS au lieu de conserver une porte dérobée initiale. Certaines étapes vivaient uniquement en mémoire, dont une charge Python comprimée et encodée. Des entrées choisies des journaux de débogage et d’audit Linux étaient effacées, les fichiers et résultats temporaires supprimés, les états modifiés restaurés.
Volexity a constaté que cette méthode échappait à l’Integrity Checker Tool d’Ivanti. Celui-ci recherche des changements inattendus de fichiers. Des modifications temporaires en mémoire et une configuration rétablie dépassent ce qu’un contrôle de disque propre peut exclure. Cela limite le sens du résultat sans rendre le contrôle inutile.
Les données d’identité ont élargi les conséquences
L’accès à l’annuaire depuis la passerelle permettait d’interroger un contrôleur de domaine Active Directory interne. Les enquêteurs ont récupéré un outil LDAP sur mesure et des scripts Python visant identifiants d’administrateurs locaux LAPS, récupération BitLocker, attributs contenant des mots de passe, métadonnées utilisateurs et chemins de scripts de connexion. Les journaux d’authentification fournissaient aussi des noms valides.
Les secrets LAPS peuvent donner un accès administratif local ; les données BitLocker déverrouiller des disques chiffrés. Volexity estime avec une forte confiance que les informations disponibles par les requêtes d’annuaire ciblées ont été exfiltrées. Cela ne prouve ni l’existence de chaque secret demandé ni le succès de toutes les compromissions ultérieures.
L’opérateur inspectait aussi des captures pour trouver identifiants LDAP en clair, données HTTP Basic et empreintes NTLM défi-réponse. Un utilitaire renommé dans un répertoire caché surveillait LDAP, HTTP, FTP et Telnet avec huit fichiers en rotation. L’abus d’empreintes et le cassage hors ligne dépendent de la configuration et de la robustesse des mots de passe. La collecte crée pourtant des conséquences qu’une mise à jour VPN n’annule pas.
D’autres actions comprenaient reconnaissance DNS et de noms internes, recherches dans configuration VPN et journaux, et pulvérisation de mots de passe sur les comptes d’annuaire. L’ensemble étayait une préparation au déplacement latéral et à un accès élargi. L’objectif final et la réussite de chaque technique n’ont pas été établis.
L’hypothèse IA du reportage fusionné réclame aussi de la prudence. Volexity estimait avec une confiance moyenne l’usage de grands modèles de langage pendant le développement ou après l’intrusion, citant scripts adaptés, identifiants codés en dur, réutilisation du canal et complexité. C’est une inférence, non une preuve directe. Des itérations humaines ou des outils privés peuvent produire des schémas similaires ; ce n’est pas une intrusion autonome par IA confirmée.
Ce qu’une clôture défendable doit établir
Après l’annonce, Shadowserver comptait plus de 5 500 instances Connect Secure apparemment accessibles depuis internet. C’est une observation d’exposition, pas un total de clients vulnérables ou compromis. Elle peut inclure leurres, doublons et systèmes corrigés. L’inventaire doit couvrir passerelles actives et de secours, nœuds de reprise et tests oubliés, puis vérifier les versions réelles.
Ivanti recommandait mise à jour immédiate et contrôles réguliers ; Rapid7 insistait aussi sur la recherche de compromission après correction. Dates d’exposition, connexions provenant de la passerelle, journaux d’identité et d’annuaire, pare-feu, DNS et mémoire préservée répondent à d’autres questions qu’un numéro de version. Volumes inhabituels vers welcome.cgi et divergences URL/en-tête sont des indices, mais modifiables. L’absence d’indicateurs publiés ne vaut pas certificat universel.
Confinement et préservation des preuves peuvent s’opposer. Redémarrage ou reconstruction détruisent des traces volatiles ; retarder l’isolement peut prolonger l’accès adverse. Risque actif, redondance et moyens d’investigation déterminent l’ordre. Les intervenants doivent coordonner la collecte sans allonger inutilement l’intrusion, en documentant actions et horaires.
La rotation des secrets doit suivre intégrations, informations accessibles et activité observée. Comptes de service, mots de passe administratifs locaux, clés de récupération, jetons et secrets réutilisables méritent un examen distinct. Des réinitialisations aveugles peuvent casser des dépendances tout en oubliant des identifiants discrets. Les connexions en aval issues de la passerelle de confiance exigent leur propre enquête.
À long terme, réduire les expositions externes et administratives inutiles, centraliser les journaux, limiter les comptes d’annuaire, segmenter et supprimer l’authentification en clair aide à contenir l’impact. Cela n’élimine pas les zero-days mais limite ce qu’un appareil compromis peut atteindre et effacer.
Les prochains signaux sont de nouveaux cas, la couverture vérifiée des branches supportées, le correctif d’élévation distinct et l’usage ultérieur des secrets volés. Volexity n’a pas publié de code prêt à l’attaque, mais l’analyse technique peut aider des imitateurs. L’absence de nouveaux cas publics ne prouve pas l’absence de compromission.
Clore demande des réponses séparées sur version vulnérable, exposition pendant la fenêtre d’exploitation, traces d’accès et systèmes ou secrets ensuite atteignables. Une mise à jour terminée répond à la première question. C’est une étape nécessaire, pas un substitut aux trois autres.