Ivanti Connect Secure : trois failles, un accès root

Ce qui se passe

Volexity a publié le 13 octobre l'analyse d'une intrusion sur un VPN Ivanti Connect Secure (ICS) pourtant à jour : version 22.8R2.4, build 19097. L'attaquant, que l'éditeur suit sous le nom UTA0576, enchaîne trois failles zero-day pour exécuter des commandes en root sans s'authentifier. L'exploitation a commencé le 3 octobre 2026 ; Volexity est intervenu le 5 chez un client de sa supervision réseau.

Ivanti a publié ses correctifs le 13 octobre, pour deux des trois failles. La troisième, l'élévation de privilèges, sera corrigée dans une prochaine version, annoncée pour les semaines à venir. La CISA a inscrit CVE-2026-104935 à son catalogue des failles exploitées (KEV) le même jour.

Les trois maillons

1. Contournement d'authentification. L'appareil décide si une requête est permise d'après l'URL, mais l'aiguille d'après un en-tête, X-DSCGI-PATH. Une requête vers la page de connexion publique /dana-na/auth/url_default/welcome.cgi peut donc viser un script protégé.
2. Exécution de code. Le gestionnaire d'envoi de wu.cgi écrit le fichier reçu dans /home/runtime/tmp/ sous le MD5 de son nom, et ne vérifie qu'ensuite que c'est un ZIP valide, avant de le supprimer. Des requêtes parallèles exécutent le script Perl pendant ce court délai. Ces deux failles portent un seul identifiant : CVE-2026-104935 (CVSS 8,6 selon Ivanti).
3. Élévation de privilèges. Le service dsinvoked lance des tâches en root d'après DSCache. L'attaquant modifie en mémoire la bibliothèque libdsplibs.so, reconfigure une tâche pour qu'elle lance Perl, la déclenche, puis remet tout en état. Les sources consultées ne lui donnent pas d'identifiant.

Ce que l'attaquant a fait

• vol des identifiants stockés sur l'appareil, dont ceux du domaine LDAP ;
• recherche dans l'Active Directory de mots de passe LAPS, de clés de récupération BitLocker et d'attributs userPassword ;
• écoute du trafic LDAP (TCP 389) avec un tcpdump renommé dsstatmond, dans /data/.icscap/ ;
• pulvérisation de mots de passe contre des comptes AD ;
• effacement des traces dans /home/runtime/dlogs/debuglog et /var/log/audit/audit.log.

Ni porte dérobée ni web shell : chaque commande rejoue la chaîne entière et le résultat revient dans la réponse HTTP. Volexity juge, avec une confiance faible, le mobile criminel plutôt qu'espion ; avec une confiance moyenne, l'acteur s'appuie sur des modèles de langage pour ses exploits.

Pourquoi c'est difficile à détecter

L'Integrity Checker Tool d'Ivanti ne voit pas cette chaîne : l'exploit ne patche la bibliothèque qu'en mémoire et restaure DSCache. Confirmer une compromission exige une analyse forensique réseau et mémoire. Le rapport ne cite pas de contournement provisoire pour qui ne peut pas mettre à jour.

Comment s'y prendre

• Versions. Volexity demande de mettre à niveau les ICS en 25.1.1 et antérieures, 25.1.2 et 22.8R2.4. Le dossier CVE d'Ivanti, tel que le lit The Hacker News, donne 22.8R2.5, 25.1.3.0 et 25.1.3.1 comme non affectées ; l'avis Ivanti reste la référence.
• Journaux. Chercher des requêtes en nombre vers welcome.cgi dont l'en-tête X-DSCGI-PATH ne correspond pas à l'URL, par exemple /home/webserver/htdocs/dana/fb/smb/wu.cgi ou /home/runtime/tmp/<MD5>.
• Indices. /data/.icscap/, processus dsstatmond, fichiers /tmp/ml.py, /tmp/rq5.py, /tmp/mk.py, /tmp/rr.py, /tmp/spray_hits.json ; IP de l'attaquant 108.165.147[.]64 (VPS actif du 30 septembre au 7 octobre).
• Les identifiants LDAP stockés ayant été volés, ce sont les premiers à changer sur un appareil suspect.

Source : A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days, Volexity, 13 octobre 2026. Repéré via The Hacker News ; inscription au KEV : alerte CISA du 13 octobre 2026.