CISA warns admins to immediately fix Ivanti flaw exploited as zero-day
Mis à jour :
Alerte de sécurité : Vulnérabilité critique “Zero-Day” sur Ivanti Connect Secure
La CISA a émis une alerte urgente concernant une vulnérabilité critique activement exploitée sur les systèmes Ivanti Connect Secure (ICS). Des cyberattaquants utilisent cette faille dans des chaînes d’exploitation complexes pour obtenir un accès non autorisé au niveau “root” et dérober des identifiants sensibles, notamment au sein de l’Active Directory.
Points clés :
- Exploitation active : La faille est exploitée en tant que “zero-day” depuis au moins le 1er octobre 2026.
- Mode opératoire : Les attaquants utilisent une chaîne combinant contournement d’authentification, exécution de code à distance (RCE) et élévation de privilèges.
- Impact : Vol de données, exfiltration d’identifiants (LAPS) et récupération de clés BitLocker.
- Indétectabilité : Les commandes sont exécutées directement en mémoire, rendant l’outil d’intégrité habituel d’Ivanti potentiellement inefficace pour détecter les compromissions.
Vulnérabilité identifiée :
- CVE-2026-104935 : Vulnérabilité de contournement d’authentification et d’exécution de code à distance (RCE). Sévérité élevée.
Recommandations :
- Mise à jour immédiate : Appliquer sans délai les versions correctives fournies par Ivanti (22.8R2.5, 25.1.3.0, 25.1.3.1 ou 25.1.1.2).
- Audit de compromission : Effectuer une analyse forensique des réseaux et de la mémoire, car les outils de détection classiques peuvent échouer.
- Procédures de remédiation en cas de compromission avérée :
- Sauvegarder la configuration.
- Réinitialiser les équipements aux paramètres d’usine et effectuer la mise à jour.
- Restaurer la configuration à partir du backup.
- Réinitialisation complète des accès : Changer tous les mots de passe (domaine, administrateur, locaux), révoquer et réémettre les certificats, et renouveler les clés API ainsi que les identifiants de licence.