Ivanti Connect Secure : corriger CVE-2026-104935 et rechercher une compromission antérieure

Ce que c'est

État au 25 octobre 2026. CVE-2026-104935 est un contournement d’authentification permettant l’exécution de commandes sans authentification dans Ivanti Connect Secure. Cet article s’appuie sur l’alerte de CISA et les bulletins de sécurité d’Ivanti datés du 13 octobre 2026. Avant la remédiation, consulter à nouveau le bulletin de l’éditeur, les chemins de mise à niveau compatibles avec le matériel et le correctif distinct d’élévation de privilèges. Le point de sécurité d’Ivanti d’octobre annonçait encore ce correctif supplémentaire comme à venir ; cet article n’affirme pas que toute la chaîne signalée est corrigée. Point de sécurité d’Ivanti.

Pourquoi c'est important

CISA signale des vols d’identifiants et des exfiltrations de données, et confirme l’ajout de la vulnérabilité à son catalogue Known Exploited Vulnerabilities le 13 octobre 2026. Des commandes peuvent s’exécuter en mémoire ; le résultat de l’Integrity Checker Tool (ICT) ne permet donc pas d’exclure une exploitation. Des analyses forensiques du réseau et de la mémoire sont nécessaires pour examiner cette possibilité. Alerte de CISA.

L’explication plus ancienne d’Ivanti sur l’ICT distingue les comparaisons d’intégrité de fichiers de la détection de logiciels malveillants : le paquet externe compare les fichiers et leurs empreintes propres à chaque version, et les contrôles internes et externes complètent la surveillance continue. Ces recommandations historiques expliquent les outils ; leurs anciennes consignes de correction propres à un incident ne constituent pas les instructions de récupération pour cette vulnérabilité. FAQ sur l’ICT.

Comment l'appliquer

• Consigner la branche logicielle installée et l’exposition de chaque appliance. CISA répertorie 25.1.1.1 et les versions antérieures, 25.1.2.2 et les versions antérieures, ainsi que 22.8R2.4 et les versions antérieures dans les branches concernées. Ne pas transformer ces indications propres à chaque branche en une seule plage numérique couvrant toutes les versions.
• Choisir un correctif compatible. Ivanti répertorie 25.1.1.2, 25.1.3.0, 25.1.3.1 et 22.8R2.5, selon la branche logicielle. Confirmer le chemin de migration pris en charge par l’appliance avant de choisir une image. Il s’agit de correctifs pour cette CVE, pas d’une déclaration selon laquelle toutes les vulnérabilités sont résolues. Récapitulatif des versions de l’éditeur.
• Préserver les preuves avec l’équipe de réponse aux incidents avant une récupération susceptible d’interrompre le service. Lorsque Neurons for Secure Access gère la passerelle, utiliser Administration > Tenant Logs pour examiner et exporter les enregistrements d’administration et d’événements. Consigner les mises à niveau, modifications de configuration et redémarrages inexpliqués pour investigation. La commande d’exportation des journaux documentée est Export Logs. Guide d’administration.
• Exécuter l’ICT interne applicable et la version actuelle de l’ICT externe. Dans le même service de gestion, sélectionner Administration > Integrity Checker Tool, sélectionner la passerelle, puis Scan now. Enregistrer le rapport et l’instantané disponible. Confirmer qu’une analyse s’est effectivement terminée ; un historique d’analyses vide n’est pas un résultat sans anomalie. Demander au support d’interpréter les anomalies.
• En cas de suspicion de compromission, suivre la séquence de récupération de CISA : sauvegarder la configuration, rétablir les paramètres d’usine du matériel ou reconstruire l’instance virtuelle ou cloud, effectuer la mise à niveau et restaurer la configuration. Réinitialiser les mots de passe de domaine, d’administrateur et de comptes locaux ; révoquer et réémettre les certificats stockés ; remplacer les clés API et les identifiants du serveur de licences stockés. Consignes de récupération.
• Après la récupération, vérifier la version installée, répéter les contrôles d’intégrité applicables et poursuivre la surveillance réseau et l’examen des journaux. Ivanti considère explicitement l’application des correctifs comme un volet d’une validation continue de l’intégrité de l’appliance. Point de sécurité.

Pièges

Une anomalie d’intégrité nécessite une investigation, tandis qu’une analyse sans anomalie ne peut pas établir l’absence de compromission passée. Conserver la conclusion de l’analyse forensique séparément du compte rendu de mise à niveau. Ne pas réutiliser des consignes de correction ou de réinitialisation issues d’un ancien incident Ivanti sans vérifier l’avis actuel et le type de déploiement.