Faille Ivanti Connect Secure CVE-2026-111357 : chaîne exploitée, versions 25.1.1.3 et 22.8R2.6 à installer

La réponse courte : le VPN Ivanti Connect Secure est la cible d’une chaîne de trois failles déjà exploitée. CVE-2026-104935, un contournement d’authentification menant à l’exécution de commandes, a été corrigée le 13 octobre 2026. Le 29 octobre, Ivanti a corrigé les deux autres maillons, CVE-2026-111357 (élévation de privilèges jusqu’à root) et CVE-2026-118527 (dépôt de fichiers à un emplacement prévisible). La CISA les a ajoutées à son catalogue des vulnérabilités exploitées le 30 octobre. Si votre passerelle est en 25.1.1.2 ou en 22.8R2.5, versions installées en urgence mi-octobre, elle reste vulnérable : il faut passer en 25.1.1.3 ou 22.8R2.6, puis vérifier qu’elle n’a pas été compromise.

Au Maroc, Connect Secure (ex-Pulse Secure) reste présent dans des organisations qui l’ont déployé pour le télétravail ou l’accès des prestataires. Voici ce que disent l’éditeur, la CISA, le chercheur Volexity et le maCERT de la DGSSI, et ce qu’il faut faire.

Ce qui est touché

Produit	Versions touchées	Version corrigée
Ivanti Connect Secure 25.1.1.x (ISA6000, ISA8000)	25.1.1.2 et antérieures	25.1.1.3
Ivanti Connect Secure 22.8	22.8R2.5 et antérieures	22.8R2.6 (ou migration vers 25.1.1.3)
Ivanti Connect Secure 25.1.2.x	25.1.2.2 et antérieures (CVE-2026-104935)	25.1.3.0 ou 25.1.3.1
Ivanti Connect Secure 25.1.3.0 et ultérieures (ISA4500, ISA6500, ISA8500)	non concernées selon Ivanti	aucune action liée à cette alerte
Ivanti Connect Secure 22.7.X et antérieures	non concernées selon Ivanti	migration à planifier (fin de vie le 31 janvier 2027)

Source : avis de sécurité Ivanti 000109571, mis à jour le 29 octobre 2026. Les correctifs se téléchargent depuis le portail de licences Ivanti (ILS).

Le détail des trois failles, tel que publié par Ivanti :

• CVE-2026-104935 : contournement d’authentification par usurpation (CWE-290), permettant à un attaquant distant non authentifié d’exécuter des commandes. Score CVSS 8.6 (élevé).
• CVE-2026-111357 : absence d’authentification sur une fonction critique (CWE-306, CWE-862, CWE-345), permettant à un attaquant local authentifié d’élever ses privilèges. Score CVSS 8.8 (élevé).
• CVE-2026-118527 : noms de fichiers prévisibles (CWE-340), permettant à un attaquant distant authentifié de déposer un fichier au contenu contrôlé à un emplacement connu. Score CVSS 4.3 (moyen).

Prises isolément, les deux dernières supposent un accès préalable. Enchaînées à CVE-2026-104935, elles donnent selon la CISA une exécution de commandes à distance sans authentification, avec vol d’identifiants et exfiltration de données.

Gravité et exploitation

• Exploitation confirmée : Ivanti indique avoir connaissance d’une exploitation affectant un nombre limité de clients lorsque les trois failles sont enchaînées.
• Catalogue CISA KEV : CVE-2026-104935 y figure depuis le 13 octobre ; CVE-2026-111357 et CVE-2026-118527 y ont été ajoutées le 30 octobre 2026, avec des échéances au 2 et au 13 novembre pour les agences fédérales américaines. La CISA exige une analyse forensique pour CVE-2026-111357.
• maCERT : le bulletin 69521410/26 du 14 octobre classe CVE-2026-104935 à un niveau de risque et d’impact critique. À la date de cette alerte, nous n’avons pas trouvé de bulletin maCERT dédié aux deux failles corrigées le 29 octobre.
• Ce qu’a observé Volexity : sur une passerelle à jour à l’époque (22.8R2.4), l’attaquant a obtenu les droits root, puis a extrait les identifiants Active Directory utilisés par le VPN, recherché les mots de passe LAPS et les clés de récupération BitLocker, capturé le trafic LDAP et lancé des attaques par pulvérisation de mots de passe. Il a ensuite effacé ses traces dans les journaux de l’équipement.

Les mesures d’attente, si la mise à jour doit attendre

Ivanti ne publie pas de contournement : la seule correction est la mise à jour. En attendant la fenêtre de maintenance :

1. Sauvegarder la configuration de la passerelle avant toute intervention.
2. Restreindre l’accès à l’interface d’administration au seul réseau d’administration.
3. Surveiller le compte de service Active Directory utilisé par le VPN : toute requête LDAP inhabituelle ou toute tentative de connexion vers d’autres serveurs doit déclencher une analyse.
4. Préparer la suite : la branche 25.1.3.0 impose les nouvelles appliances ISA4500, ISA6500 ou ISA8500, ou un nouveau modèle de machine virtuelle. Ce chantier se prévoit avant la fin de vie du 31 janvier 2027.

Les vérifications à faire

• Contrôler la version réellement en service sur chaque nœud, y compris les passerelles de secours ou de reprise d’activité.
• Ne pas se fier au seul Integrity Checker Tool : l’attaque modifie la mémoire, pas le disque. Ivanti renvoie aux indicateurs publiés par Volexity, qui citent notamment un dossier caché /data/.icscap/, un processus dsstatmond qui capture le trafic, des scripts Python dans /tmp/ et des requêtes vers /dana-na/auth/url_default/welcome.cgi portant un en-tête X-DSCGI-PATH.
• Examiner le réseau interne : connexions LDAP ou Kerberos inhabituelles depuis l’adresse interne du VPN, échecs d’authentification en série sur de nombreux comptes.
• En cas de doute, suivre la procédure de la CISA : sauvegarder la configuration, réinitialiser l’équipement en usine et le mettre à jour (reconstruire l’instance pour une version virtuelle ou cloud), restaurer la configuration, puis réinitialiser les mots de passe du domaine, des administrateurs et des comptes locaux, révoquer et réémettre les certificats stockés, et renouveler les clés d’API.

Notre lecture pour les entreprises au Maroc

Une passerelle VPN est un point d’entrée direct vers l’annuaire et les serveurs. Cette affaire montre deux pièges : une mise à jour faite une seule fois dans l’urgence, et la confiance dans un outil de contrôle qui ne voit pas une attaque en mémoire. Elle rappelle aussi qu’un VPN connecté à l’annuaire avec un compte de service trop privilégié expose tout le domaine.

Pour aller plus loin, lisez notre guide sur le VPN d’entreprise, l’IPsec et le ZTNA, notre méthode de gestion des correctifs, notre plan de réponse à incident pour la première heure et nos conseils sur l’authentification multifacteur. Pour les organismes concernés, la loi 05-20 et les exigences de la DGSSI imposent de traiter ces bulletins, et une supervision et un EDR managés 24/7 aident à repérer un mouvement latéral depuis le VPN.

Comment nous pouvons vous aider

Nous vérifions la version de vos passerelles d’accès distant, planifions la mise à jour, recherchons les indicateurs publiés et sécurisons les comptes de service liés à l’annuaire. Si la migration vers une autre solution d’accès distant est envisagée, nous l’étudions avec vous. Nous assurons ensuite la supervision 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes. Découvrez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : avis de sécurité Ivanti Connect Secure (CVE-2026-104935, mis à jour le 29 octobre), catalogue CISA KEV, alerte CISA sur Ivanti Connect Secure, maCERT : bulletin 69521410/26, NVD CVE-2026-111357, NVD CVE-2026-118527, Volexity.