if ( !emtpy($headline_subheadline ) ) : ?>
Le contournement critique de l’authentification a permis à des attaquants distants de contourner les contrôles de connexion et d’exécuter des commandes sur les appareils vulnérables avant que les correctifs ne soient entièrement rétroportés.
endif; ?>
Des attaquants sans compte propre ont été découverts en train de se connecter aux appliances Ivanti Connect Secure à l’aide d’une faille de contournement d’authentification que le fournisseur a depuis corrigée. Une fois à l’intérieur, les attaquants ont exécuté des commandes arbitraires sur les appareils.
« Ivanti a initialement découvert une partie de cette vulnérabilité dans le cadre de notre programme de sécurité produit et l’a corrigée dans la version 25.1.3.0 de juillet », a déclaré le fournisseur dans un avis de sécurité. « Nous travaillions à rétroporter le correctif vers les versions restantes prises en charge lorsque l’exploitation s’est produite. »
Selon la FAQ sur les vulnérabilités de la société de sécurité watchTowr, la faille permettait à des attaquants distants d’usurper les signaux utilisés pour établir l’identité d’un utilisateur, en contournant les contrôles d’authentification normaux. Le contournement utilise un chemin distinct de l’authentification normale, de sorte que les protections de connexion existantes ne l’arrêtent pas, a ajouté watchTowr.
Suivie comme CVE-2026-104935 et notée CVSS 8,6 sur 10, la vulnérabilité affecte plusieurs branches de produits, notamment Ivanti Connect Secure 22.8R2.4 et versions antérieures, ainsi que les versions 25.1 spécifiées. Ivanti indique que les versions 22.7 et antérieures ne sont pas affectées.
Ivanti a publié des correctifs, notamment pour les versions 22.8R2.5, 25.1.1.2, 25.1.3.0 et 25.1.3.1, en fonction de la branche matérielle et logicielle. Il a été conseillé aux équipes de sécurité d’identifier leurs versions déployées, d’appliquer les correctifs correspondants et d’enquêter sur une compromission potentielle.
Alors qu’Ivanti a déclaré qu’aucun indicateur fiable de compromission n’était encore disponible, Volexity, la société de cybersécurité à qui l’on attribue la découverte de la faille, a publié les détails de son exploitation. L’Agence américaine de cybersécurité et de sécurité des infrastructures a ajouté la faille à son catalogue de vulnérabilités exploitées connues (KEV) le 13 octobre.
