Ivanti Connect Secure : un zero-day du VPN est exploité depuis des semaines et mettre à jour ne suffit pas

Publié le 1 novembre 2026 · L'équipe mitza.es

Quand on parle de sécurité informatique, on pense aux antivirus et aux mots de passe, mais la porte d'entrée de nombreuses entreprises est ailleurs : le VPN, l'équipement qui permet au personnel de se connecter au bureau depuis l'extérieur. C'est un appareil qui est, par conception, ouvert sur internet, et c'est pourquoi il constitue une cible privilégiée. Le dernier avis important concerne Ivanti Connect Secure, un VPN très répandu dans les entreprises de taille moyenne et chez les prestataires de services informatiques. Nous résumons ce que l'on sait au 1er novembre 2026, avec les précautions qui s'imposent : l'enquête reste ouverte.

Ce qui s'est passé

Le 13 octobre 2026, Ivanti a publié son avis de sécurité sur CVE-2026-104935, une faille de contournement d'authentification dans Ivanti Connect Secure (le VPN qui s'appelait auparavant Pulse Connect Secure). Elle permet à un attaquant distant, sans identifiants, d'exécuter des commandes sur l'équipement. Ivanti a reconnu qu'elle avait été exploitée avant la publication du correctif chez un nombre limité de clients, c'est pourquoi elle est considérée comme un zero-day. Le même jour, l'agence américaine CISA l'a ajoutée à son catalogue des vulnérabilités activement exploitées (KEV). Rapid7 lui attribue une gravité de 8,6 sur 10.

Qui l'a exploitée et depuis quand

L'entreprise de sécurité Volexity a détecté l'activité et l'attribue à un groupe qui n'avait pas encore été identifié, qu'elle suit sous le nom UTA0576. Selon Volexity, la chaîne d'attaque était utilisée au moins depuis le 3 octobre ; une autre société situe les premiers indices au 1er octobre. Autrement dit, des attaques ont eu lieu pendant plus d'une semaine avant qu'un correctif n'existe. Et la faille n'agissait pas seule : les attaquants l'enchaînaient avec d'autres vulnérabilités pour obtenir une exécution de code avec des droits d'administrateur (root) sans s'authentifier, y compris sur des équipements qui étaient parfaitement à jour à ce moment-là.

Versions concernées et corrigées

Selon les données publiées par Ivanti et reprises par Rapid7, sont concernées les versions 22.8R2.4 et antérieures, 25.1.1.1 et antérieures et 25.1.2.2 et antérieures (de chaque branche). Les versions 22.7.x et antérieures ne sont pas touchées. Les versions corrigées citées par Rapid7 sont 22.8R2.5, 25.1.1.2, 25.1.3.0 et 25.1.3.1. Vérifiez toujours dans l'avis officiel d'Ivanti avant d'agir, car c'est la source qui peut être mise à jour.

Pourquoi cette faille est particulièrement gênante

Volexity décrit une attaque soignée : elle ne laissait ni programmes malveillants ni portes dérobées (web shells) que l'on aurait pu retrouver ensuite, elle réexploitait la faille chaque fois qu'elle voulait exécuter une commande et elle manipulait les journaux de l'équipement. Selon son analyse, cela a permis de contourner l'outil de vérification d'intégrité que fournit le fabricant lui-même. La conséquence pratique est importante : le fait que cet outil ne détecte rien ne prouve pas que l'équipement soit sain.

De plus, au moment de la publication de l'avis, l'une des failles de la chaîne (une élévation de privilèges) n'était toujours pas corrigée. Ivanti a indiqué qu'elle la corrigerait plus tard ; il convient donc de surveiller ses prochaines mises à jour.

Comment savoir si votre entreprise utilise Ivanti Connect Secure

• Demandez à la personne ou à l'entreprise qui gère votre informatique quel VPN vous utilisez et de quelle marque il s'agit.
• Consultez l'inventaire des équipements réseau : il peut apparaître sous le nom Ivanti, Pulse Secure ou Pulse Connect Secure.
• Regardez l'écran de connexion au VPN depuis l'extérieur du bureau : il affiche généralement le logo du fabricant.
• Si l'accès est géré par un prestataire, demandez-lui de confirmer par écrit la version et la date de la dernière mise à jour.

Pour mesurer l'ampleur du problème : le service de suivi Shadowserver recense plus de 5 500 instances de ce produit exposées à internet dans le monde, même si l'on ne sait pas combien sont déjà protégées ou sont des pièges (honeypots). Ce n'est pas un chiffre propre à l'Espagne.

Que faire dès aujourd'hui : la checklist

1. Confirmez si vous l'utilisez et quelle version vous avez (voir la section précédente).
2. Passez à une version corrigée en suivant l'avis d'Ivanti. Si votre équipement relève de la branche concernée, traitez-le comme une urgence, pas comme une tâche du prochain créneau de maintenance.
3. Ne vous fiez pas uniquement à l'outil d'intégrité. Demandez une analyse des journaux, des connexions et de l'activité de l'équipement, idéalement par quelqu'un qui a de l'expérience en analyse forensique.
4. Changez les identifiants et les clés qui sont passés par l'équipement s'il a été exposé avant le correctif : mots de passe des utilisateurs du VPN, comptes de service, certificats et clés d'accès. C'est une mesure prudente recommandée par les analystes en cas de compromission possible.
5. Activez la vérification en deux étapes pour les accès au VPN et limitez l'administration de l'équipement au réseau interne ou à des adresses précises.
6. Conservez les journaux hors de l'équipement (sur un serveur à part), car les attaquants peuvent manipuler ceux qui restent sur l'appareil.
7. Notez la date et les actions menées. Si vous deviez notifier un incident plus tard, vous serez heureux d'avoir la chronologie.

Si vous pensez qu'une intrusion a eu lieu

Signes qui justifient une vérification urgente : des connexions VPN d'utilisateurs qui ne travaillaient pas, des accès depuis des pays ou des plages horaires inhabituels, des changements de configuration dont personne ne se souvient, ou des journaux avec des trous. Dans ce cas, suivez les étapes de récupération du fabricant, isolez l'équipement si possible et prévenez votre prestataire informatique. Si des données personnelles sont concernées, consultez au plus vite votre conseiller au sujet de la notification à l'autorité de protection des données. Vous pouvez aussi demander une aide gratuite à l'INCIBE au 017.

Comment réduire le risque d'un VPN à moyen terme

• Que se connecter au VPN ne donne pas accès à tout : segmentez le réseau pour que chaque utilisateur n'atteigne que ce dont il a besoin.
• Tenez un inventaire des équipements en périphérie (VPN, pare-feu, passerelles) avec leur version et leur responsable.
• Abonnez-vous aux avis du fabricant et de l'INCIBE-CERT, et définissez un délai maximal de correctif pour les failles critiques (par exemple, 48 heures).
• Envisagez des alternatives quand un produit accumule des failles graves : accès basé sur l'identité (modèles de « confiance zéro »), autre fabricant ou services gérés.
• Ayez des sauvegardes indépendantes et testées, au cas où il faudrait réinstaller : nous l'expliquons dans la règle 3-2-1 des sauvegardes.

Ce n'est pas un cas isolé : les équipements en périphérie sous attaque cet automne

L'avis d'Ivanti s'ajoute à d'autres que nous avons déjà relayés : les zero-days de Citrix NetScaler et les vulnérabilités des passerelles de messagerie de Cisco et FortiMail. Le schéma se répète : les attaquants visent les appareils qui protègent l'entrée du réseau, car les compromettre donne accès à tout le reste. Si vous voulez comprendre comment s'organise cette première ligne de défense, lisez notre guide qu'est-ce qu'un pare-feu et de quoi une PME a besoin. Et pour le panorama des menaces, l'article sur le ransomware dans les entreprises espagnoles, car une intrusion par le VPN est l'une des voies d'entrée les plus courantes.

Questions rapides

Suis-je concerné si j'utilise seulement le VPN d'un autre fabricant ?

Pour cet avis précis, non. Mais le conseil général vaut : sachez quels équipements vous exposez à internet, tenez un calendrier de mises à jour et exigez de votre prestataire un délai maximal de correctif pour les vulnérabilités critiques.

Suffit-il de mettre à jour ?

Pas nécessairement. Il y a eu exploitation avant le correctif et l'attaque a été conçue pour laisser peu de traces. Après la mise à jour, il convient de vérifier s'il y a eu intrusion et de changer les identifiants qui sont passés par l'équipement.

Cela a-t-il un rapport avec la réglementation NIS2 ?

La gestion des vulnérabilités et des fournisseurs fait partie des mesures attendues des entreprises visées par la directive. Vous en trouverez le contexte dans notre guide sur la réglementation NIS2 pour les PME.

Comment Mitza peut vous aider

Nous examinons votre réseau, vos accès à distance et vos équipements exposés, et nous vous aidons à mettre à jour et à vérifier s'il y a eu intrusion. Si vous êtes dans le sud de Madrid, consultez notre service de maintenance informatique, ou exposez-nous votre cas depuis la page de contact.