Introduction
Les solutions VPN d'accès distant occupent une position architecturale singulière dans les systèmes d'information : elles authentifient les utilisateurs, donc elles ont accès à l'annuaire. C'est précisément cette position privilégiée qu'un groupe d'attaquants, suivi sous le nom UTA0576, a exploitée en combinant trois failles zero-day dans Ivanti Connect Secure.
Le 30 octobre 2026, la CISA a inscrit deux nouvelles entrées à son catalogue KEV : CVE-2026-111357 et CVE-2026-118527. Elles complètent une chaîne dont la première branche, CVE-2026-104935, avait reçu un correctif le 13 octobre. Ivanti a finalement publié les patchs pour l'ensemble de la chaîne le 29 octobre, soit plus de deux semaines de fenêtre d'exposition supplémentaire pendant lesquelles les attaques se poursuivaient.
Trois CVE pour un accès root non authentifié
La séquence fonctionne en trois étapes sur une appliance entièrement à jour au moment de l'attaque initiale. CVE-2026-104935 (CVSS 8.6) est un bypass d'authentification permettant l'exécution de commandes à distance sans identifiants. CVE-2026-118527 (CVSS 4.3), au score individuel trompeur, introduit une prévisibilité dans la génération d'identifiants permettant à l'attaquant de déposer des fichiers à un emplacement connu. CVE-2026-111357 (CVSS 8.8) clôt la séquence par une élévation de privilèges jusqu'à root.
Ce que cette chaîne illustre clairement : des failles au score modeste peuvent devenir critiques une fois combinées. Un processus de patch management qui priorise uniquement les CVSS élevés aurait pu laisser CVE-2026-118527 en bas de liste, ce qui aurait suffi à maintenir la chaîne exploitable.
Le compte de service VPN, porte dérobée vers l'annuaire
Une fois root sur l'appliance, UTA0576 n'a pas cherché à rebondir par de nouveaux exploits. Les attaquants ont utilisé ce que la solution possédait déjà : un compte de service Active Directory, indispensable pour authentifier les utilisateurs VPN via LDAP.
Depuis ce compte légitime, ils ont pu extraire des informations hautement sensibles sans jamais attaquer l'Active Directory directement : mots de passe LAPS (Local Administrator Password Solution), clés de récupération BitLocker, journaux d'authentification contenant des noms d'utilisateurs valides, hachages exploitables pour des attaques de type password spraying. L'appliance réseau faisait le travail d'un insider, avec les droits que l'organisation lui avait elle-même accordés.
Ce que cela change pour la gestion des équipements réseau
Cet incident expose un angle mort fréquent dans la gouvernance des accès : les appliances réseau sont rarement soumises aux mêmes contrôles que les serveurs ou les endpoints. Leurs comptes de service, leurs permissions LDAP, leurs accès aux contrôleurs de domaine n'apparaissent pas systématiquement dans les cartographies de risques ni dans les revues d'accès périodiques.
Les versions corrigées d'Ivanti Connect Secure sont les 25.1.1.3 et 22.8R2.6. La CISA a fixé au 2 novembre l'échéance de remédiation pour CVE-2026-111357 et au 13 novembre pour CVE-2026-118527, pour les agences fédérales américaines. Au-delà du patch, l'éditeur et les chercheurs recommandent de vérifier si les appareils ont été compromis avant la mise à jour, UTA0576 opérait depuis plusieurs semaines avant la publication des correctifs complets.
Pour les organisations utilisant Ivanti Connect Secure, la mise à jour vers les versions corrigées est la priorité immédiate. Le chantier structurel, lui, consiste à auditer les droits accordés aux comptes de service de tous les équipements réseau. Quand une appliance peut lire l'ensemble d'un annuaire Active Directory, elle mérite le même niveau de surveillance qu'un serveur de production.