Ivanti Connect Secure : l'ANSSI et le CERT-FR alertent sur trois failles critiques activement exploitées

Le 2 novembre 2026, le CERT-FR a actualisé son bulletin d'alerte CERTFR-2026-ALE-013 portant sur les passerelles Ivanti Connect Secure. Trois vulnérabilités majeures subissent des assauts ciblés à l'échelle mondiale, offrant aux cybercriminels la capacité de court-circuiter les mécanismes d'accès, de lancer des ordres distants et de pénétrer les réseaux corporatifs. En raison de la sévérité de ce danger qui pèse sur les architectures de télétravail, les organismes français en charge de la cybersécurité émettent des directives rigoureuses visant à stopper les incursions.

Un dispositif de périmètre visé directement par des attaques ciblées

Les dispositifs Ivanti Connect Secure, anciennement commercialisés sous l'appellation Pulse Secure, constituent le socle des accès à distance pour de nombreuses entreprises, administrations et opérateurs d'importance vitale. Situés à la limite précise séparant Internet des réseaux internes, ces serveurs SSL VPN accueillent les sessions chiffrées des employés mobiles afin de leur garantir un passage direct vers les postes de travail, les serveurs de fichiers et les applications métier. Ce placement stratégique octroie à l'appareil une fonction de vigie, tout en le désignant comme une cible majeure pour les collectifs cybercriminels axés sur l'infiltration furtive.

Au sein du domaine de la cybersécurité, les infrastructures VPN d'entreprise obéissent à des exigences techniques spécifiques, très différentes de celles des solutions grand public. Tandis que les individus soucieux de leur intimité testent souvent des configurations mixtes telles que l'utilisation conjointe d'un VPN et du réseau Tor afin de dissimuler leurs données ou éviter les blocages de routage, les passerelles corporatives traitent de volumineux flux d'authentification liés directement aux annuaires centraux. Dès qu'une faille logicielle touche une telle interface, l'ensemble du mécanisme de cloisonnement s'effondre.

L'avertissement initial diffusé le 14 octobre 2026 par le CERT-FR signalait une faille zero-day ciblée activement pour la première fois. La situation s'est nettement dégradée à la fin du mois d'octobre 2026, incitant Ivanti à actualiser ses bulletins de sécurité et contraignant l'Agence nationale de la sécurité des systèmes d'information (ANSSI) à rehausser le niveau d'urgence opérationnelle. Deux nouvelles brèches logicielles ont été documentées, confirmant l'existence d'une chaîne d'attaque complète déjà opérationnelle sur le terrain.

Les attaquants combinent trois vulnérabilités pour infiltrer les systèmes

Le risque lié à cette offensive procède de la succession de trois failles logicielles spécifiques, référencées CVE-2026-104935, CVE-2026-111357, CVE-2026-118527. En exploitant ces vulnérabilités, des assaillants distants contournent les dispositifs de vérification d'identité et obtiennent les privilèges supérieurs sur l'appliance logicielle.

La vulnérabilité CVE-2026-104935, première anomalie, autorise l'exécution à distance de code arbitraire et le contournement total de la sécurité du dispositif. Les analystes de la sécurité de Volexity ont d'abord repéré cette faille, permettant aux attaquants d'insérer des commandes hostiles sans détenir de comptes privilégiés légitimes au préalable. L'exposition publique de l'interface web d'administration et du portail utilisateur rend l'exploitation directe depuis n'importe quelle adresse IP sur Internet.

Les deux vulnérabilités intégrées le 29 octobre 2026 complètent la chaîne d'attaque :

• La faille CVE-2026-111357 permet à un attaquant authentifié d’escalader localement ses privilèges, convertissant un accès limité en contrôle administrateur complet
• La faille CVE-2026-118527 autorise un déposement non autorisé de fichiers dans des répertoires sensibles et connus de l'OS sous-jacent
• Le manque de contrôle strict des requêtes entrantes permet l'implantation de backdoors persistants masqués en composants système légitimes

Les éditions d'Ivanti Connect Secure concernées englobent les séries 22.8R précédant la mise à jour 22.8R2-6, les éditions 25.1-1 précédant la mise à jour 25.1-1-3, ainsi que les éditions 25.1-2 précédant l'édition 25.1-3-1. Ivanti a indiqué que les éditions récentes 25.1-3 ne sont pas affectées par les deux vulnérabilités les plus récentes CVE-2026-111357 et CVE-2026-118527, mais restent soumises aux exigences de mise à niveau globale.

De l'appareil VPN au centre du réseau : le risque de progression latérale

Il est rarissime qu'une cyberattaque vise à compromettre un VPN d'accès distant. Dans la plupart des incidents relevés par les groupes de réaction, la saisine du serveur VPN constitue un tremplin tactique visant à s'infiltrer en profondeur dans les réseaux internes de la structure visée. Sous l’appellation de mouvement latéral, ce mécanisme constitue l’étape la plus destructrice pour les entreprises touchées.

Pour garantir son rôle d'authentification, la passerelle Ivanti communique constamment avec les répertoires d'entreprise. Elle stocke dans la mémoire tampon, ou transmet en texte brut, les jetons de session, les mots de passe d'administration et les comptes de service dédiés. Dès l’obtention de leurs accès privilégiés, les cybercriminels orchestrent le détournement des identifiants Active Directory et LDAP conservés sur la passerelle. Armés de ces accès légitimes, ils peuvent ensuite s'authentifier sans éveiller les soupçons sur les serveurs de messagerie, les bases de données financières et les partages documentaires internes.

Cette première intrusion alimente directement l'économie clandestine de la cybercriminalité. Les premiers attaquants, souvent qualifiés de courtiers d'accès initiaux, se contentent de valider la compromission de la passerelle avant d'organiser la revente d'accès initiaux sur des forums clandestins du darknet. Ces accès sont généralement achetés par des affiliés de rançongiciels, lesquels chiffrent ensuite les parcs informatiques, volent massivement des données confidentielles et extorquent de l'argent en menaçant de rendre publiques les informations.

Les actions d'urgence ordonnées par les organismes de cybersécurité

Devant la preuve d'une exploitation en cours, l'ANSSI et le CERT-FR préconisent d'appliquer immédiatement une série stricte de mesures techniques classées par priorité. Les gestionnaires d'infrastructures informatiques ne doivent pas appliquer un correctif élémentaire avant d'avoir contrôlé l'intégrité de leurs équipements.

La mesure d'urgence initiale vise à couper complètement l'appareil du LAN et d'Internet, bloquant ainsi toute diffusion vers les machines internes. Concernant une appliance virtuelle, le personnel technique doit capturer l'intégralité de la mémoire vive et du système de fichiers avant l'interruption du courant, puis confier tous les journaux d'événements à un séquestre afin de faciliter l'investigation numérique future.

Ensuite, l'examen des traces d'intrusion repose sur l'outil officiel de l'éditeur :

• Exécuter les versions externes de l'outil ICT Integrity Check Tool permet d'examiner les binaires sans recourir aux utilitaires de la passerelle interne
• Les services de sécurité doivent examiner les signes de compromission diffusés par Volexity, en particulier les adresses IP douteuses et les scripts web masqués
• L'examen minutieux des connexions réseau sortantes permet d'identifier si d'autres serveurs internes ont déjà tenté de communiquer vers des adresses de contrôle malveillantes

Lorsqu'on repère des indices d'intrusion, le correctif logiciel habituel ne suffit pas, car les attaquants déploient des mécanismes de persistance qui résistent aux correctifs. Ainsi, le protocole officiel exige une réinitialisation des paramètres d'usine intégrale de l'appliance, puis l'application instantanée du micrologiciel corrigé. Parallèlement, les opérateurs de réseau doivent exécuter la révocation sans délai de tous les certificats de chiffrement TLS, changer totalement les codes d'accès d'administration, actualiser les tickets Kerberos et réinitialiser chaque compte de service lié à l'annuaire d'entreprise.

Devoirs légaux et réflexes clés pour les structures françaises

Le traitement d'une faille de sécurité touchant un dispositif de bordure tel qu'Ivanti Connect Secure relève aussi d'un cadre juridique rigoureux en France et au sein de l'Union européenne. Les organisations et collectivités exposées à une intrusion sur leur infrastructure réseau ne peuvent se contenter d'une gestion exclusivement interne.

Dès lors qu'une intrusion a permis l'exfiltration ou la consultation non autorisée de données à caractère personnel, l'organisme responsable a l'obligation légale de procéder à une notification à la CNIL sous 72 heures après en avoir pris connaissance, conformément à l'article 33 du Règlement général sur la protection des données (RGPD). Tout manquement à cette échéance contraignante expose les entités défaillantes à des mesures pécuniaires pouvant s'élever jusqu'à 20 millions d'euros ou à quatre pour cent du chiffre d'affaires annuel global.

Les organismes opérant dans des secteurs d'importance vitale, tout comme ceux soumis à la directive européenne NIS 2, doivent impérativement notifier le CERT-FR ou le CSIRT régional de gestion des incidents. Cette crise sert de rappel aux spécialistes du numérique quant aux piliers de la défense en profondeur : il s'agit d'isoler rigoureusement les réseaux locaux, d'imposer une authentification multifacteur solide pour toute session distante et de ne jamais accorder une confiance sans réserve aux passerelles accessibles via Internet.