Ivanti a publié des mises à jour de sécurité pour deux vulnérabilités de sa passerelle d’accès à distance Connect Secure, exploitées conjointement avec une faille de contournement de l’authentification lors d’attaques observées depuis au moins le 1er octobre.

Les problèmes récemment corrigés sont CVE-2026-111357, une vulnérabilité d’escalade de privilèges de gravité élevée, et CVE-2026-118527, qui permet à des attaquants authentifiés de téléverser des fichiers vers un appareil non corrigé. Les attaquants ont exploité ces deux failles parallèlement à CVE-2026-104935, une vulnérabilité de contournement de l’authentification qu’Ivanti a corrigée le mois dernier.

Ivanti a déclaré que la mise à jour précédente avait corrigé le principal vecteur d’exploitation après que l’entreprise eut pris connaissance d’une exploitation limitée dans la nature. L’éditeur a expliqué que sa priorité était de fournir rapidement une protection aux clients, tandis que le correctif de CVE-2026-104935 faisait l’objet d’une assurance qualité pour les versions prises en charge.

Volexity, qui a découvert CVE-2026-104935, a indiqué qu’un acteur malveillant identifié sous le nom UTA0576 combinait cette faille avec deux autres vulnérabilités depuis au moins le 3 octobre afin d’obtenir une exécution de code non authentifiée au niveau root sur des appareils Connect Secure entièrement corrigés. Selon Volexity, l’acteur n’a déployé ni logiciel malveillant ni web shell, réexploitant plutôt l’appareil pour chaque commande et modifiant les journaux afin de dissimuler son activité et d’échapper à l’outil Integrity Checker d’Ivanti.

La société de renseignement sur les menaces Defused a également signalé des signes d’exploitation active à partir du 1er octobre. L’Agence américaine de cybersécurité et de sécurité des infrastructures a ensuite ajouté CVE-2026-104935 à son catalogue des vulnérabilités connues comme étant exploitées et a demandé aux agences fédérales d’appliquer le correctif disponible d’ici vendredi.

Shadowserver, qui surveille l’exposition sur Internet, suit actuellement plus de 5 000 instances Connect Secure accessibles depuis Internet. Aucune information n’est disponible sur le nombre de ces systèmes qui ont été sécurisés contre les attaques en cours.

Les vulnérabilités d’Ivanti sont fréquemment ciblées lors de campagnes zero-day, car les appareils compromis peuvent fournir un accès aux réseaux d’entreprise. Ces dernières années, l’entreprise a également corrigé d’autres failles de Connect Secure exploitées dans la nature, notamment des vulnérabilités utilisées lors d’attaques visant à déployer des logiciels malveillants.

Depuis novembre 2021, la CISA a répertorié 38 vulnérabilités d’Ivanti comme étant activement exploitées, dont 12 ont également été utilisées lors d’attaques par rançongiciel.

Sources: BleepingComputer.