Des pirates exploitent des failles des VPN Ivanti

Des pirates informatiques exploitent des failles de sécurité dans les VPN Connect Secure d'Ivanti pour infiltrer les réseaux d'entreprises et effacer les traces de leurs activités. Une récente alerte de sécurité met en garde les entreprises qui utilisent ce logiciel contre ces risques.

Des failles permettant un accès non autorisé

Deux vulnérabilités, regroupées sous la référence CVE-2026-104935, ont été corrigées par Ivanti le 13 octobre. Ces failles permettent aux attaquants de contourner l'authentification et d'exécuter des commandes à distance, ce qui leur donne accès au système sans aucune interaction de la part des utilisateurs.

Des attaquants combinent plusieurs failles

Des chercheurs en sécurité ont découvert que les pirates ont associé ces deux failles à une troisième vulnérabilité, inconnue jusqu'alors, afin de prendre le contrôle total du système. Ils ont ainsi pu élever leurs privilèges au niveau le plus élevé, appelé accès root, et s'emparer de l'ensemble de la passerelle VPN.

Des attaquants visent des données sensibles

Un groupe non identifié, baptisé UTA0576, exploite cette méthode depuis le 3 octobre au moins. Les pirates ont accédé à des identifiants stockés sur le système compromis et s'en sont servis pour interroger Active Directory, un outil de Microsoft permettant de gérer les comptes utilisateurs et les ressources du réseau.

Des pirates effacent leurs traces

Les attaquants ont évité de laisser des logiciels malveillants persistants ou des portes dérobées. Ils ont plutôt exploité de nouveau les vulnérabilités pour chaque commande et manipulé les journaux afin d'effacer leur présence. Il a ainsi été difficile de détecter l'intrusion à l'aide de l'outil de sécurité intégré à Ivanti.

Ivanti publie des correctifs, mais une faille subsiste

Ivanti a publié des correctifs pour les deux premières vulnérabilités, mais n'a pas encore corrigé la troisième, qui permet l'élévation de privilèges. L'entreprise conseille aux organisations concernées de mettre à jour leurs logiciels et de rechercher des signes d'intrusions passées, l'attaque ayant pu passer inaperçue.