Ordinateurs · 14/10/2026

Ivanti Connect Secure : trois failles zero-day enchaînées pour obtenir l'accès root, CISA exige un correctif le 16 octobre

Deux failles sont corrigées sous CVE-2026-104935 (score 8,6) ; une troisième, d'élévation de privilèges, reste sans correctif, attendu dans des semaines.

Transparence : cette page peut contenir des liens affilies ou sponsorises. Les recommandations restent editoriales.

Un attaquant, suivi sous le nom UTA0576, a enchaîné trois vulnérabilités d'Ivanti Connect Secure pour obtenir un accès root sans authentification, y compris sur des systèmes à jour, rapporte iTnews le 14 octobre 2026.

Les failles

CVE-2026-104935 regroupe deux failles corrigées : un contournement d'authentification et une exécution de code à distance, de score CVSS 8,6. Une troisième, d'élévation de privilèges, n'est pas corrigée, avec un correctif « à quelques semaines ».

Les versions

Les versions 22.8R2.4 et antérieures de la branche 22.8 sont vulnérables. Les versions corrigées sont 25.1.1.2, 25.1.3.0, 25.1.3.1 et 22.8R2.5 ; la branche 22.7 n'est pas touchée.

Une attaque discrète

L'attaquant relançait toute la chaîne pour chaque commande et modifiait le code des bibliothèques seulement en mémoire, pour échapper aux outils de détection. Volexity a confirmé une victime.

Où en est le correctif

La CISA impose aux agences fédérales de corriger avant le 16 octobre 2026. Ivanti avait trouvé une partie du défaut seul et l'avait réparée dans la 25.1.3.0 dès juillet.