Vulnérabilité dans Ivanti Connect Secure (ICS) (14 octobre 2026)
ANSSI — Licence Ouverte / Etalab 2.0. Publication d'origine, 14 octobre 2026.
Texte officiel intégral
Ci-dessous, le corps complet de la publication de ANSSI, reproduit sans modification. La Licence Ouverte / Etalab 2.0 en autorise expressément la reproduction, à la seule condition d'en mentionner la paternité.
Une vulnérabilité a été découverte dans Ivanti Connect Secure (ICS). Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance, une élévation de privilèges et un contournement de la politique de sécurité.
Ivanti indique que cette vulnérabilité CVE-2026-104935 est activement exploitée.
Solutions
Les recommandations suivantes sont listées par ordre de priorité.
- isoler totalement la machine concernée du réseau, vis-à-vis d'Internet comme du réseau interne, afin de limiter les risques de latéralisation ;
- en cas d'utilisation d'une appliance virtuelle, réaliser un instantané du système de fichier et de la mémoire vive ;
- si possible, éviter d'éteindre la machine afin de conserver les traces nécessaires aux investigations ;
- procéder à l’analyse des serveurs afin d’identifier une possible compromission à l’aide des indicateurs de compromission publiés par Volexity [1] ;
- l'éditeur recommande d'exécuter les versions externes de son script Integrity Check Tool (ICT)[2][3] ; le CERT-FR rappelle que l’exécution de ce script nécessite un accès physique à l'équipement et peut causer une interruption de service, ce dont l'utilisation dans les contextes à haute disponibilité doit tenir compte ;
- en cas de compromission : signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les bons réflexes en cas d'intrusion sur votre système d'information [4] ;
- effectuer une remise à la configuration de sortie d'usine ( Factory Reset ) [5] ; le CERT-FR rappelle que certaines menaces peuvent persister à une réinitialisation, ce dont l'utilisation dans les contextes sensibles doit tenir compte ;
- procéder à une montée de version du micrologiciel ( firmware ) si le correctif est disponible ;
- considérer les secrets stockés sur l'équipement, ou y ayant transité en clair, comme compromis. Les actions suivantes sont dès lors nécessaires : réinitialiser les secrets liés au LDAP ou à l'Active Directory, si configuré. le CERT-FR a connaissance de latéralisation utilisant ces secrets.
- révoquer et réémettre tous les certificats présents sur les équipements affectés : certificats utilisés pour les machines et/ou pour l’authentification utilisateur (coté client et serveur) ;
- certificats de signature de code et les certificats TLS pour l’interface exposée.
- réinitialiser les mots de passe de tout compte local défini sur la passerelle, y compris les comptes de service utilisés dans la configuration liée aux serveurs d’authentification ;
- révoquer l'ensemble des moyens d'authentification (tickets Kerberos...) des comptes de services utilisés.
- Une fois la machine isolée et les collectes réalisées, conduire une recherche de latéralisation sur votre système d'information depuis l'équipement compromis, notamment : en recherchant les indicateurs de compromission décrits plus bas dans cette alerte ;
- en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement ;
- puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion.
- En cas d'absence de compromission : procéder à une montée de version du micrologiciel ( firmware ) si le correctif est disponible ;
- surveiller l'activité des comptes et des services liés à l'équipement, notamment le compte de service LDAP ou Active Directory, si celui a été configuré.
Documentation
- Bulletin de sécurité Ivanti Security Advisory Ivanti Connect Secure (CVE-2026-104935) du 13 octobre 2026 https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US
- [2] Documentation de l'outil Integrity Checker Tool (ICT) https://hub.ivanti.com/s/article/KB44859?language=en_US
- [3] Lien de téléchargement pour l'outil Integrity Checker Tool (ICT) https://hub.ivanti.com/s/article/KB44755?language=en_US
- [4] Les bons réflexes en cas d’intrusion sur un système d’information /les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/
- [5] Bulletin technique Ivanti relatif à la réinitialisation de l'équipement https://forums.ivanti.com/s/article/KB22964?language=en_US
- Avis CERT-FR CERTFR-2026-AVI-1311 du 14 octobre 2026 /avis/CERTFR-2026-AVI-1311/
Fin du texte officiel repris
Source :ANSSI, publié le — Licence Ouverte / Etalab 2.0.
Consulter la publication d'originehttps://www.cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-013/
Texte reproduit dans son intégralité. La mention de la source et de sa date de dernière mise à jour est la seule condition posée par la Licence Ouverte / Etalab 2.0 ; elle ne confère aucun caractère officiel à cette reprise et ne vaut ni reconnaissance ni caution de fildactu.fr par l'émetteur.
Sources
Sujets liés
Comment ce sujet a-t-il été constitué ?
Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.
Le texte encadré plus haut est le corps de la publication de ANSSI, repris dans son intégralité et sans modification. La Licence Ouverte / Etalab 2.0 sous laquelle cet organisme diffuse ses informations concède « un droit non exclusif et gratuit de libre réutilisation », dont celui « de la communiquer, la reproduire, la copier » et « de l'exploiter à titre commercial », sous la seule réserve d'en « mentionner la paternité » — la source et la date de dernière mise à jour, portées en tête et en pied du texte, avec le lien vers l'original. La mise en page — chapô détaché, intertitres, sommaire — est de fildactu.fr ; les mots sont ceux de l'émetteur, et pas un n'a été ajouté, retiré ni reformulé. Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.