Ivanti Connect Secure : la CISA donne jusqu’au 16 octobre
Le catalogue, relu le 17 octobre 2026, est en version 2026.10.16, 1 748 entrées. CVE-2026-104935 n’a pas changé : échéance au 16 octobre. L’alerte CISA, la fiche NVD et le CERT-FR nomment des versions, mais pas les mêmes bornes. Nous n’en choisissons pas une.
Accessible
Image générée · SecuFocus
En bref
L’essentiel
Si vous administrez Connect Secure, isolez l’appareil, d’Internet et du réseau interne. L’outil d’intégrité peut ne rien voir. Le CERT-FR, l’alerte CISA et la fiche NVD ne donnent pas les mêmes bornes. Nous n’avons pas d’appliance.
Ce qui change
Le 14 octobre 2026, le flux JSON du catalogue est en version 2026.10.13, 1 741 entrées, publié le 13 octobre 2026 à 19 h 10 UTC. CVE-2026-104935, Ivanti Connect Secure, a toujours une date d’ajout au 13 octobre et une échéance au 16 octobre 2026. Le titre parle d’un contournement d’authentification par usurpation. La description dit qu’un attaquant distant, sans compte, peut exécuter des commandes arbitraires. Le champ rançongiciel dit Unknown. Le triage forensique dit Yes. La faiblesse nommée est CWE-290. Une lecture du même jour à 14 h 34 UTC voyait 1 740 entrées et un triage forensique à No. Le flux dit maintenant Yes. Le 15 octobre 2026, le flux est en version 2026.10.14, 1 745 entrées, publié le 14 octobre 2026 à 19 h 27 UTC. CVE-2026-104935 n’a pas changé : même date d’ajout, même échéance au 16 octobre, triage forensique toujours Yes.
Le champ d’action demandé dit d’appliquer les mesures selon les consignes de l’éditeur, ou d’arrêter d’utiliser le produit si ces mesures n’existent pas. Il renvoie aussi vers la directive BOD 26-04. Nous n’avons pas relu cette directive. Le 16 octobre est l’échéance inscrite dans le catalogue. Ce n’est pas un délai que SecuFocus fixe pour les autres lecteurs.
Le 16 octobre 2026, le flux est en version 2026.10.15, 1 746 entrées, publié le 15 octobre 2026 à 17 h 00 UTC. CVE-2026-104935 n’a pas changé d’échéance. L’ajout du 15 octobre est Atlassian, déjà noté. Le 17 octobre 2026, le flux est en version 2026.10.16, 1 748 entrées, publié le 16 octobre 2026 à 17 h 15 UTC. Deux entrées ont une date d’ajout au 16 octobre : CVE-2026-102764, BeyondTrust, et CVE-2025-61624, Fortinet. Elles ont leur note. CVE-2026-104935 n’a pas changé d’échéance : le 16 octobre reste inscrit.
Ce que le catalogue dit du produit
L’alerte CISA du 13 octobre 2026 nomme Connect Secure 25.1.1.1 et antérieures, 25.1.2.2 et antérieures, et 22.8R2.4 et antérieures. Elle dit que des acteurs exploitent cette faille pour voler des identifiants et exfiltrer des données. Elle écrit aussi que l’outil de contrôle d’intégrité d’Ivanti peut ne pas voir l’exploitation, parce que les commandes s’exécutent en mémoire. La version 22.8 arrive en fin de vie le 31 janvier 2027, selon la même alerte.
La fiche NVD, statut Analyzed, modifiée le 13 octobre 2026 à 19 h 24 UTC, ne donne pas les mêmes bornes. La description anglaise parle d’ICS avant 25.1.3.0, et précise que cela ne touche pas 22.7R2.14 ni les versions antérieures. Les versions marquées non affectées sont 25.1.3.0, 25.1.3.1, 22.8R2.5 et 22.7R2.14. La liste CPE est plus étroite : 25.1.0.0 inclus jusqu’à avant 25.1.1.2, 25.1.2.0 inclus jusqu’à avant 25.1.3.0, et 22.8 R2, R2.1, R2.2, R2.3, R2.4. Nous ne choisissons pas une version sûre entre l’alerte et la fiche.
Le score CVSS 3.1 porté par la source de la fiche est 8,6, élevé. Le vecteur dit réseau, sans compte, sans action de l’utilisateur. Le coordinateur CISA, à 15 h 42 UTC, marque l’exploitation active, automatisable, impact technique total. Ce n’est pas un essai SecuFocus.
L’alerte CERT-FR du 14 octobre 2026, CERTFR-2026-ALE-013, donne encore d’autres bornes : 22.8Rx avant 22.8R2.5, 25.1.1.x avant 25.1.1.2, et 25.1.3.x avant 25.1.3.1. Elle ne nomme pas la branche 25.1.2 que l’alerte CISA cite. Elle inclut une ligne 25.1.3, alors que la fiche NVD marque 25.1.3.0 et 25.1.3.1 comme non affectées. Nous n’en choisissons pas une. Le CERT-FR écrit qu’Ivanti indique une exploitation active. Il demande d’isoler la machine d’Internet et du réseau interne, de prendre un instantané si l’appliance est virtuelle, et d’éviter de l’éteindre si les traces doivent rester. Il dit que l’outil d’intégrité externe demande un accès physique et peut couper le service.
Ce que nous n’avons pas vérifié
Nous n’avons pas ouvert la page éditeur Ivanti. Elle n’est pas dans la liste des sources que nous citons. Les numéros de l’alerte CISA et de la fiche NVD ne viennent pas de cette page. Une interrogation de l’API NVD le 13 octobre 2026, plus tôt dans la journée, avait renvoyé zéro fiche. Le 14 octobre, la même API a une fiche, publiée le 13 octobre à 16 h 17 UTC. Le 15 octobre 2026, le CERT-FR a une alerte, CERTFR-2026-ALE-013, datée du 14 octobre. Nous ne l’avions pas dans les pages lues la veille. Le CERT-EU, sur sa page d’accueil lue le 15 octobre, n’a pas de billet sur cet identifiant. « Exploité » vient du catalogue, de l’alerte CISA, et de ce que le CERT-FR dit avoir reçu d’Ivanti. Ce n’est pas un contrôle SecuFocus. Unknown dans le champ rançongiciel ne prouve pas l’absence d’une campagne. Nous n’avons pas d’appliance, et nous n’avons pas rejoué la faille. Le CERT-FR cite un rapport du 13 octobre pour des indicateurs. Nous n’avons pas ouvert ce rapport : il n’est pas dans la liste.
Le choix
Si vous administrez un Ivanti Connect Secure, le geste reste immédiat : isolez l’appareil, d’Internet et du réseau interne, comme le demande l’alerte CERT-FR. Appliquez les mesures que l’éditeur documente, ou retirez le produit. Ne vous fiez pas au seul outil d’intégrité : l’alerte CISA dit qu’il peut ne rien voir, parce que les commandes s’exécutent en mémoire. Le CERT-FR ajoute que le script externe demande un accès physique et peut interrompre le service. Ne déclarez pas une version sûre : l’alerte CISA, la fiche NVD et le CERT-FR ne donnent pas les mêmes bornes. Si une compromission est suspectée, le CERT-FR dit traiter comme compromis les secrets LDAP ou Active Directory qui sont passés par l’équipement : il écrit avoir connaissance d’une latéralisation par ces secrets. Le détail des réinitialisations est dans son alerte, pas recopié ici. Si vous ne faites pas tourner ce produit, cette note ne change rien pour vous. Windows a sa note. Les quatre ajouts du 14 octobre aussi.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.