Un VPN à jour, ouvert sans laisser de trace

Des attaquants ont pris le contrôle total d'un VPN Ivanti pourtant à jour, en enchaînant trois failles inconnues. Toute l'attaque tourne en mémoire : l'outil de contrôle de l'éditeur ne la voit pas.

Actualité du 13 octobre 2026 · 1 min 43 · 3 sources · 11 affirmations sourcées

En 30 secondes

Un VPN à jour a été pris grâce à trois failles enchaînées, dix jours avant les premiers correctifs.
L'attaque ne laisse presque rien sur le disque : un contrôle d'intégrité qui dit « OK » ne prouve pas l'absence d'intrusion.
Depuis le VPN, l'attaquant visait l'annuaire : mots de passe d'administrateurs et clés de secours des disques chiffrés.

Les faits

Ce qui est établi, et ce qui ne l'est pas

Chaque affirmation de l'épisode, son statut et ses sources.

ÉtabliExploitation à partir du 3 octobre 2026 d'un Ivanti Connect Secure en version 22.8R2.4, la plus récente à ce moment ; enquête de Volexity à partir du 5 octobre[1][2]
ÉtabliIvanti a publié le 13 octobre des correctifs pour deux des trois failles ; celui de l'élévation de privilèges est annoncé pour une version future[1][2]
ÉtabliChaîne en trois temps : contrôle d'authentification contourné par un en-tête HTTP (X-DSCGI-PATH) ; script Perl déguisé en ZIP exécuté avant sa suppression ; service root dsinvoked détourné par une modification en mémoire de sa configuration[1][2]
ÉtabliCVE-2026-104935 (CVSS 8,6) couvre le contournement d'authentification et l'exécution de code ; la faille d'élévation n'a pas de CVE publié[1][3]
RapportéSelon Volexity, l'outil de vérification d'intégrité d'Ivanti peut ne pas détecter la compromission : le code n'est modifié qu'en mémoire et la configuration est restaurée[1][2]
ÉtabliAvec le compte de service du VPN, un outil LDAP a interrogé l'annuaire Active Directory pour y chercher les mots de passe administrateur LAPS et les clés de récupération BitLocker, puis exfiltré les résultats[1][2]
ÉtabliAucune porte dérobée : chaque commande rejouait toute la chaîne d'exploitation ; des entrées de journaux ont été effacées[1][2]
RapportéLa CISA a ajouté CVE-2026-104935 à son catalogue des failles exploitées et impose aux agences fédérales de corriger avant le 16 octobre 2026[3]
InconnuAuteur (UTA0576, non attribué), nombre de victimes (Ivanti évoque « un nombre limité de clients ») et objectif final restent inconnus[1][3]
RapportéVolexity estime avec une confiance moyenne que l'attaquant utilise des modèles de langage pour écrire ses exploits[1]
ÉtabliRecommandations : appliquer les correctifs, surveiller les requêtes anormales vers welcome.cgi avec l'en-tête X-DSCGI-PATH, enquêter en mémoire et sur le réseau en cas de doute[1]

Transcription

Le 3 octobre, un VPN d'entreprise parfaitement à jour tombe aux mains d'attaquants. Pendant dix jours, aucun correctif n'existe. Et selon Volexity, l'outil de contrôle de l'éditeur ne voit rien.

CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.

Mais comment on entre dans un VPN à jour ?

Tout part d'une simple requête sur Internet. Un en-tête mal vérifié laisse passer l'attaquant, sans mot de passe. Il dépose un script déguisé en fichier ZIP, et le lance juste avant que le serveur l'efface. Enfin, il détourne en mémoire un service qui a tous les droits : il devient root.

Depuis le VPN, il interroge l'annuaire de l'entreprise avec le compte du VPN lui-même. Il y cherche les mots de passe des administrateurs et les clés de secours BitLocker. Aucune porte dérobée : chaque commande rejoue toute l'attaque, et rien ne reste sur le disque.

Ce qu'on sait : la faille est exploitée, et l'agence américaine CISA impose de corriger avant le 16 octobre. Ce qu'on ignore : qui est derrière, combien de victimes, et quand la troisième faille sera corrigée. Volexity soupçonne l'usage d'une IA pour écrire l'attaque, sans preuve.

La leçon vaut pour toute passerelle ouverte sur Internet. Appliquer les correctifs. Puis enquêter en mémoire et sur le réseau, pas seulement sur le disque : un contrôle qui dit « OK » ne prouve rien. Et surveiller les requêtes anormales qui visent la passerelle.

Être à jour ne veut pas dire être protégé. Cette fois, l'attaque est passée par la porte qu'on croyait la mieux gardée.

Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : votre entreprise utilise-t-elle un VPN ?

Les mots de l'épisode

VPN: Passerelle qui permet aux salariés de se connecter au réseau de l'entreprise depuis l'extérieur. Elle est exposée sur Internet par nature.
Zero-day: Faille exploitée avant que l'éditeur ne publie de correctif : même un équipement à jour est vulnérable.
Root: Le compte qui a tous les droits sur une machine Linux. L'obtenir, c'est contrôler entièrement l'équipement.
Clé de récupération BitLocker: Code de secours qui déverrouille un disque chiffré de Windows. Avec elle, le chiffrement ne protège plus rien.

Sources