CISA Urges Immediate Ivanti Connect Secure Updates as Honeypots Log 105 Exploit Attempts

Urgence : Exploitation active de Ivanti Connect Secure

La CISA a émis une alerte critique concernant une vulnérabilité « zero-day » affectant les appliances Ivanti Connect Secure (ICS), actuellement exploitée activement par des acteurs malveillants pour le vol d’identifiants et l’exfiltration de données.

Points clés :

• Vecteur d’attaque : Les attaquants utilisent l’en-tête HTTP X-DSCGI-PATH pour contourner l’authentification et exécuter des scripts Perl arbitraires.
• Activités malveillantes : Le groupe UTA0576, actif depuis début octobre 2026, utilise cette faille pour obtenir des privilèges root, extraire des métadonnées Active Directory, mener des attaques de type Kerberoasting et rechercher des clés de récupération BitLocker.
• Dissimulation : Les attaquants effacent les traces de leurs activités, modifient les journaux système pour échapper à l’outil de vérification d’intégrité d’Ivanti et ne déploient pas de logiciels malveillants persistants, rendant la détection complexe.

Vulnérabilité :

• CVE-2026-104935 : Contournement d’authentification (Score CVSS : 8.6).
• Versions impactées : 25.1.1.1 et antérieures, 25.1.2.2 et antérieures, et 22.8R2.4 et antérieures.

Recommandations :

• Mise à jour immédiate : Appliquer les correctifs fournis par Ivanti sans délai.
• Forensics : En cas de suspicion de compromission, procéder à une analyse approfondie de la mémoire et du réseau (recherche de l’en-tête X-DSCGI-PATH).
• Procédure de remédiation en cas de compromission :
  • Sauvegarder la configuration.
  • Réinitialiser l’appliance aux paramètres d’usine ou reconstruire l’instance virtuelle.
  • Installer la version corrigée et restaurer la configuration.
  • Réinitialiser tous les mots de passe (domaine, administrateur, locaux), révoquer les certificats stockés et renouveler les clés API ainsi que les identifiants de serveur de licence.

Source