# Chaîne d’exploitation zéro-day sur Ivanti Connect Secure par UTA0576

_Publié le 31 octobre 2026 — https://ip73.fr/2026/10/31/chaine-d-exploitation-zero-day-sur-ivanti-connect-secure-par-uta0576/_

Des chercheurs de Volexity ont documenté une exploitation en chaîne très sophistiquée ciblant les appliances Ivanti Connect Secure VPN. Un acteur malveillant, désigné UTA0576, a réussi à obtenir une exécution de code à la racine (root) sans nécessiter d'authentification initiale, et ce, dès le début du mois d'octobre 2026. 

Cette attaque repose sur la combinaison de trois vulnérabilités : un contournement d'authentification, une vulnérabilité d'exécution de code à distance (RCE) et une faiblesse d'élévation de privilèges. Le premier maillon, le contournement d'authentification, est référencé sous CVE-2026-104935. Ivanti a publié un correctif pour cette faille le 13 octobre 2026, selon Volexity. Les deux autres failles, CVE-2026-111357 et CVE-2026-118527, ont été ajoutées au catalogue KEV de la CISA le 30 octobre 2026.

Ce qui rend l'affaire particulièrement troublante, ce n'est pas seulement la réussite de l'intrusion, mais la manière dont UTA0576 a opéré une fois à l'intérieur. L'acteur ne semblait pas utiliser de canal de commande et de contrôle (C2) dédié. Pour chaque instruction envoyée, il réexécutait l'intégralité de la chaîne d'exploitation – contournement d'authentification, RCE, élévation de privilèges – directement dans les requêtes HTTPS. C'était une activité d'une minutie chirurgicale, l'attaquant payant le coût de la réexploitation à chaque commande pour ne laisser aucun artefact persistant, comme l'ont expliqué The Stack et Volexity.

## Le périmètre d'action de l'attaquant

Une fois l'accès root obtenu, UTA0576 s'est concentré sur des objectifs très précis : le vol de secrets et la reconnaissance interne. L'acteur a réussi à extraire des identifiants stockés sur l'appliance elle-même, y compris des mots de passe d'administrateur local gérés par LAPS et des clés de récupération BitLocker. De plus, l'attaquant a déployé des outils personnalisés. On parle ici d'un outil LDAPv3 pour interroger Active Directory et d'un script Python dédié à la recherche de ces informations sensibles.

En termes de reconnaissance, UTA0576 a effectué des balayages DNS locaux et des tests de mots de passe (password spraying), tout en capturant le trafic LDAP depuis l'appareil compromis. L'objectif final était clairement l'exfiltration de métadonnées Active Directory, qu'il a exportées au format JSON dans le répertoire /tmp/ de la machine. 

Ivanti avait initialement publié un outil de vérification d'intégrité, mais il est apparu que cette faille particulière échappait à sa détection. L'exploitation modifie les bibliothèques en mémoire uniquement et restaure les données du magasin de configuration. Cela impose une analyse forensique approfondie, que Volexity a menée en collectant les images mémoire et disque des systèmes affectés.

## Les implications pour la gestion des risques

Les autorités de régulation, comme la CISA, insistent désormais sur la nécessité pour les agences fédérales de prioriser la remédiation des vulnérabilités listées dans leur catalogue KEV. Ce cadre est d'autant plus pertinent que les appliances réseau restent un point d'entrée majeur pour les attaquants.

Au-delà des correctifs publiés par Ivanti, les systèmes de surveillance doivent anticiper cette réalité : la preuve d'une compromission n'est pas toujours liée à un implant classique. Elle peut se trouver dans l'analyse des traces d'exécution récurrentes ou dans l'examen des requêtes réseau elles-mêmes. Il convient donc de surveiller les signes de mouvements latéraux lancés depuis l'appareil ICS VPN, même si les logs d'audit ont été effacés, comme c'est le cas avec UTA0576.

## Fiche technique

| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-104935 | Ivanti Connect Secure | Élevée (CVSS 8,6) | Oui (KEV, 13 octobre 2026) | Voir l’avis de l’éditeur |
| CVE-2026-111357 | Ivanti Connect Secure | Élevée (CVSS 7,0) | Oui (KEV, 30 octobre 2026) | Voir l’avis de l’éditeur |
| CVE-2026-11357 | — | Moyenne (CVSS 4,3) | Non signalée | Voir l’avis de l’éditeur |

*Données : [NVD](https://nvd.nist.gov/) (NIST), [catalogue KEV de la CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) (CC0) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).*

## Sources

- [A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days](https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/?ref=thestack.technology), volexity.com
- [Ivanti patches two more CVEs amid highly unusual Connect Secure exploitation](https://www.thestack.technology/ivanti-patches-two-more-cves-amid-highly-unusual-connect-secure-exploitation/), The Stack, 29 octobre 2026
- [CISA Adds Two Known Exploited Vulnerabilities to Catalog](https://www.cisa.gov/news-events/alerts/2026/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog), CISA, 30 octobre 2026
- [GHSA-vm2g-whwh-xhq8](https://github.com/advisories/GHSA-vm2g-whwh-xhq8) : Authentication bypass by spoofing in ICS before version 25.1.3.0 allows a remote…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-104935](https://nvd.nist.gov/vuln/detail/CVE-2026-104935), NVD (NIST)
- [CVE-2026-104935 dans le catalogue KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-104935), CISA
- [GHSA-fhw5-mpvj-x89m](https://github.com/advisories/GHSA-fhw5-mpvj-x89m) : Ivanti Connect Secure 22.8R2.4 mishandles the manner in which the dsinvoked broker trusts…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-111357](https://nvd.nist.gov/vuln/detail/CVE-2026-111357), NVD (NIST)
- [CVE-2026-111357 dans le catalogue KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-111357), CISA
- [GHSA-g255-vwqv-qh7v](https://github.com/advisories/GHSA-g255-vwqv-qh7v) : The Kadence Blocks — Page Builder Toolkit for Gutenberg Editor plugin for WordPress is…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-11357](https://nvd.nist.gov/vuln/detail/CVE-2026-11357), NVD (NIST)