Suivre Ivanti a divulgué CVE-2026-104935, une vulnérabilité d’une grande sévérité dans Ivanti Connect Secure (ICS) qui est activement exploitée dans des attaques réelles. La faille a un score CVSS de 8.6 et permet à des attaquants non authentifiés de contourner l’authentification et d’exécuter des commandes arbitraires sur des appareils VPN vulnérables.
La vulnérabilité a été révélée après que Volexity a enquêté sur un appareil Ivanti Connect Secure compromis qui était entièrement à jour à l’époque. L’acteur de la menace précédemment inconnu, suivi sous le nom UTA0576, a enchaîné le contournement d’authentification et l’exécution de code à distance couverte par CVE-2026-104935 avec une élévation de privilège zero-day distincte pour obtenir l’exécution de commandes au niveau root sans authentification.
La campagne observée démontre les risques de sécurité associés aux vulnérabilités dans l’infrastructure VPN exposée à Internet. Après avoir obtenu les privilèges root, les attaquants ont ciblé les identifiants, les données Active Directory, les mots de passe LAPS, les clés de récupération BitLocker et d’autres informations sensibles qui pourraient faciliter le déplacement latéral plus profondément dans l’environnement victime.
Ivanti a confirmé le 13 octobre 2026 qu’il était au courant d’exploitations limitées dans la nature et a exhorté les organisations utilisant des versions affectées à agir immédiatement. La CISA a ensuite ajouté la vulnérabilité à son catalogue des vulnérabilités exploitées connues.
Les équipes de sécurité peuvent tirer parti de la plateforme de détection AI-Native de SOC Prime pour accélérer l’enquête sur les menaces émergentes et opérationnaliser le contenu de détection sur les environnements SIEM, EDR, XDR, et Data Lake.
Prime Architect peut encore aider les ingénieurs en détection en transformant le renseignement sur les menaces émergentes en logique de détection, requêtes de recherche, et règles spécifiques à l’environnement, tandis que Prime Hunt permet une enquête rétrospective sur la télémétrie organisationnelle.
Analyse CVE-2026-104935
CVE-2026-104935 affecte des versions spécifiques d’Ivanti Connect Secure et combine deux faiblesses utilisées par des attaquants pour passer d’une requête Web non authentifiée à l’exécution de code arbitraire dans le contexte du compte cgi-server.
La vulnérabilité est classée comme un contournement d’authentification par usurpation sous CWE-290. Selon Ivanti, le problème peut être exploité à distance sans identifiants ou interaction utilisateur et a un score CVSS de 8.6.
Volexity a reconstruit la chaîne d’exploitation lors de l’enquête sur un appareil tournant sous Ivanti Connect Secure 22.8R2.4, Build 19097. Le dispositif était considéré comme entièrement mis à jour lorsque l’activité malveillante a commencé le 3 octobre 2026. Les chercheurs ont commencé à enquêter sur l’incident le 5 octobre et ont ensuite collaboré avec Ivanti pour analyser la mémoire, les images disque et les cœurs après l’accident du système affecté.
La première étape abuse du comportement de routage de requêtes associé au point de terminaison public /dana-na/auth/url_default/welcome.cgi. Les attaquants peuvent fournir un en-tête HTTP X-DSCGI-PATH pointant vers une ressource CGI qui nécessiterait normalement une authentification.
La décision de sécurité est basée sur l’URL publique tandis que l’en-tête contrôle le script effectif recevant la requête. Cette divergence permet à un attaquant de router des requêtes non authentifiées vers une fonctionnalité CGI protégée.
UTA0576 a utilisé ce mécanisme pour atteindre wu.cgi, un gestionnaire de téléchargements contenant la deuxième vulnérabilité. L’attaquant a soumis un script Perl malveillant déguisé en extension .zip. Le gestionnaire a temporairement écrit le contenu téléchargé dans /home/runtime/tmp/ avant de vérifier si le fichier était une archive ZIP valide.
Bien qu’un fichier invalide ait été ultérieurement supprimé, les attaquants ont exploité la courte période entre la création et la suppression du fichier. Des requêtes parallèles référant le fichier temporaire via X-DSCGI-PATH ont permis l’exécution de la charge utile Perl avant sa suppression.
La charge utile initiale a lancé Bash, puis un stade Python encodé qui existait principalement en mémoire. À ce stade, l’attaquant a obtenu l’exécution de code en tant que compte cgi-server moins privilégié.
Pour accroître les privilèges, UTA0576 a enchaîné un zero-day distinct impliquant le service dsinvoked privilégié et le magasin de configuration DSCache. Les attaquants ont modifié la copie en mémoire d’une bibliothèque Ivanti, changé la configuration d’une tâche de maintenance privilégiée, et causé l’exécution de code Perl contrôlé par l’attaquant en tant que root par dsinvoked.
Après avoir obtenu un accès root, l’exploit a restauré la configuration modifiée en mémoire et l’état de la bibliothèque. Il a aussi supprimé les entrées pertinentes des journaux de débogage Ivanti et des journaux d’audit Linux, réduisant considérablement les artefacts d’analyse légale disponibles sur le disque.
Ce comportement est particulièrement significatif car l’outil Integrity Checker d’Ivanti se concentre sur l’identification des changements de fichiers inattendus. Étant donné que des portions de cet exploit modifient le code seulement en mémoire et restaurent les changements de configuration temporaire ensuite, Volexity a constaté que l’attaque pouvait échapper à la détection de l’outil.
Les attaquants n’ont pas non plus installé une webshell persistante ou une porte dérobée de premier niveau conventionnelle. Au lieu de cela, UTA0576 a exécuté à plusieurs reprises la chaîne d’exploitation complète à chaque fois qu’une autre commande avait besoin d’être exécutée et a renvoyé la sortie de commande directement via le trafic HTTPS de l’exploit.
L’activité post-exploitation s’est fortement concentrée sur les identifiants et Active Directory. Volexity a observé les attaquants extraire des identifiants stockés sur l’appareil VPN, interroger Active Directory, rechercher des mots de passe Windows LAPS et des clés de récupération BitLocker, effectuer des attaques par pulvérisation de mots de passe, examiner les journaux d’authentification et collecter le trafic LDAP.
L’acteur de la menace a également utilisé des outils personnalisés pour Python et Kerberos pour tester les identifiants et accéder à des attributs de répertoire sensibles. Les fichiers associés à la reconnaissance et à la collecte d’identifiants furent provisoirement mis en scène sous /tmp/ avant exfiltration et nettoyage.
L’attribution reste incertaine. Volexity suit l’acteur sous le nom UTA0576 et évalue avec une faible confiance que sa motivation peut être criminelle plutôt qu’espionne. Les chercheurs ont également évalué avec une confiance moyenne que l’acteur pourrait avoir utilisé de grands modèles de langage pour aider au développement de l’exploit ou à l’activité post-exploitation, en se basant sur les caractéristiques opérationnelles de l’intrusion.
Aucune exploitation de preuve de concept (PoC) largement disponible et validée pour CVE-2026-104935 n’a été identifiée dans les sources principales examinées au moment de la publication. Cependant, Volexity a publié des détails techniques substantiels sur la chaîne d’attaque, ce qui signifie que les organisations devraient supposer que d’autres acteurs pourraient tenter de reproduire la technique.
Pour la détection de CVE-2026-104935, les défenseurs devraient surveiller les volumes élevés de requêtes vers /dana-na/auth/url_default/welcome.cgi, surtout lorsque l’en-tête X-DSCGI-PATH fait référence à une autre ressource CGI ou à un fichier temporaire.
Atténuation de CVE-2026-104935
Ivanti a publié des correctifs pour le contournement d’authentification et les composants RCE couverts par le CVE. Les organisations utilisant des versions affectées de Connect Secure devraient mettre à jour immédiatement plutôt que de se fier uniquement aux vérifications d’intégrité.
Le guide de sécurité d’octobre d’Ivanti identifie des versions corrigées dans toutes les branches supportées, y compris 22.8R2.5, 25.1.1.2, 25.1.3.0, et 25.1.3.1, selon la ligne de code déployée. Ivanti recommande de passer à la branche 25.x dès que possible car la ligne de code 22.x approche de sa fin de vie.
La vulnérabilité d’élévation de privilège distincte utilisée dans la chaîne observée de trois zero-days n’était pas encore corrigée lorsque Volexity a publié son analyse le 13 octobre. Ivanti préparait un correctif pour une version future. Cela rend l’installation des correctifs de CVE-2026-104935 particulièrement importante car le blocage du contournement initial de l’authentification et de l’RCE empêche les attaquants d’atteindre la phase requise pour exploiter l’élévation de privilège locale.
Les organisations devraient également continuer à exécuter l’outil Integrity Checker d’Ivanti, comme recommandé par le fournisseur, mais ne devraient pas considérer un résultat propre comme une preuve définitive que l’exploitation n’a pas eu lieu. Ivanti elle-même recommande de combiner mises à jour et vérifications d’intégrité avec une surveillance réseau, une revue des journaux, des contrôles d’accès, et une validation continue de l’appareil.
Pour détecter l’exploitation de CVE-2026-104935, les défenseurs devraient inspecter la télémétrie HTTP pour des discordances entre l’URL demandée et la valeur de l’en-tête X-DSCGI-PATH. Les valeurs particulièrement suspectes observées par Volexity incluent des chemins référant wu.cgi ou des fichiers sous /home/runtime/tmp/.
Les équipes de sécurité devraient également inspecter /tmp/ pour des scripts inexpliqués ou des artefacts de reconnaissance et enquêter sur une activité inattendue provenant de l’appareil VPN vers Active Directory, les services LDAP, l’infrastructure DNS, ou les systèmes d’authentification internes.
Les IOC connus de CVE-2026-104935 de l’incident étudié incluent l’adresse IP contrôlée par l’attaquant 108.165.147[.]64, une activité suspecte impliquant /data/.icscap/, et des requêtes répétées ciblant le chemin d’accès CGI exposé de bienvenue. Ces indicateurs devraient être utilisés en parallèle avec une détection comportementale car les attaquants peuvent facilement faire pivoter l’infrastructure ou altérer les noms de fichiers temporaires.
Les organisations qui identifient des signes de compromission devraient mener des analyses de forensic réseau et mémoire plutôt que de se fier exclusivement à un examen basé sur le disque. Les identifiants stockés ou accessibles via l’appareil devraient être considérés comme potentiellement exposés, y compris les identifiants de service LDAP, et devraient être modifiés après confinement.
Les défenseurs devraient également enquêter sur Active Directory pour des requêtes LDAP suspectes, des pulvérisations de mots de passe, l’accès aux attributs de récupération LAPS ou BitLocker, une activité Kerberos anormale, et des mouvements latéraux provenant de l’appareil VPN.
La CISA a ajouté la faille à son catalogue des vulnérabilités exploitées connues le 13 octobre 2026, établissant une date limite de remédiation pour le 16 octobre pour les agences civiles fédérales américaines concernées. Cela confirme que les organisations devraient traiter la correction comme une priorité urgente plutôt que d’attendre une exploitation plus vaste.
La plateforme de détection AI-Native de SOC Prime peut aider les équipes de sécurité à opérationnaliser ce renseignement sur la menace, chasser les comportements associés, et adapter les détections à la télémétrie réseau, identité et point d’extrémité disponible.
FAQ
Qu’est-ce que le CVE-2026-104935 et comment fonctionne-t-il ?
CVE-2026-104935 est une vulnérabilité activement exploitée dans Ivanti Connect Secure qui couvre une chaîne de contournement d’authentification et d’exécution de code à distance. Les attaquants peuvent manipuler le comportement de routage des requêtes pour accéder à un gestionnaire CGI protégé sans authentification et exploiter la gestion temporaire des fichiers pour exécuter du code malveillant en tant que compte cgi-server. Dans les attaques observées, cela a été combiné avec un zero-day distinct d’élévation de privilège pour obtenir un accès au niveau root.
Quand le CVE-2026-104935 a-t-il été découvert pour la première fois ?
Ivanti a déclaré que son équipe de sécurité produit avait précédemment identifié une partie de la vulnérabilité et inclus une protection dans la version 25.1.3.0 en juillet 2026. Volexity a indépendamment découvert une exploitation active lors de l’enquête sur une activité suspecte le 5 octobre, déterminant que les attaques avaient commencé dès le 3 octobre. Ivanti a publiquement divulgué la vulnérabilité et confirmé une exploitation limitée le 13 octobre 2026.
Quel est l’impact de CVE-2026-104935 sur les systèmes ?
L’exploitation réussie permet à un attaquant distant non authentifié d’exécuter du code sur un appareil Ivanti Connect Secure affecté. Lorsqu’il est enchaîné avec la faille d’élévation de privilège distincte observée par Volexity, les attaquants peuvent obtenir des privilèges root. Dans l’incident étudié, UTA0576 a volé des identifiants, interrogé Active Directory, recherché des mots de passe LAPS et des clés de récupération BitLocker, capturé des données LDAP, et s’est préparé à un potentiel déplacement latéral.
Le CVE-2026-104935 peut-il encore m’affecter en 2026 ?
Oui. Les appareils Ivanti Connect Secure vulnérables qui n’ont pas été mis à niveau restent à risque immédiat car l’exploitation a été confirmée en nature. La CISA a ajouté la vulnérabilité à son catalogue KEV, tandis qu’Ivanti exhorte les clients utilisant des versions affectées à mettre à jour sans délai.
Comment puis-je me protéger contre CVE-2026-104935 ?
Mettez à jour Ivanti Connect Secure vers la version corrigée applicable immédiatement, continuez à exécuter l’outil Integrity Checker, et surveillez le trafic réseau et les journaux pour tout comportement de routage de requête suspect. Comme l’exploitation observée peut minimiser les artefacts sur disque, les organisations avec une exposition suspectée devraient mener des enquêtes de forensic mémoire et réseau et changer les identifiants potentiellement compromis. Les administrateurs devraient continuer à passer en revue les recommandations des fournisseurs pour les détails mis à jour pour CVE-2026-104935, y compris la correction en attente pour la vulnérabilité distincte d’élévation de privilège.
