🗓️ Contexte

Le 2 novembre 2026, Rapid7 publie une analyse d’urgence suite à la mise à jour de l’advisory sécurité d’Ivanti du 29 octobre 2026, concernant Ivanti Connect Secure (ICS), solution VPN d’entreprise déployée en bordure de réseau.

🔍 Vulnérabilités identifiées

Trois CVE sont impliquées dans une chaîne d’exploitation active :

  • CVE-2026-104935 (CVSS 8.6, CWE-290) : Contournement d’authentification par spoofing permettant une exécution de commandes à distance non authentifiée
  • CVE-2026-111357 (CVSS 8.8 selon Ivanti, 7.0 selon CVE record, CWE-306/862/345) : Élévation de privilèges locale pour un attaquant authentifié
  • CVE-2026-118527 (CVSS 4.3, CWE-340) : Upload de fichier contrôlé par l’attaquant vers un chemin connu sur le disque, pour un attaquant authentifié à distance

Les deux nouvelles CVE ont été ajoutées au catalogue KEV de la CISA le 30 octobre 2026.

🎯 Exploitation observée

Volexity rapporte que l’acteur UTA0576 a exploité cette chaîne pour obtenir un accès root non authentifié sur un appliance en version 22.8R2.4, à partir du 3 octobre 2026, soit avant la divulgation publique. Les activités post-exploitation incluent :

  • Vol de credentials
  • Requêtes Active Directory ciblant les mots de passe Windows LAPS et les clés de récupération BitLocker

L’activité contourne l’Integrity Checker Tool d’Ivanti, rendant un résultat propre non conclusif.

🛠️ Versions affectées et correctifs

CVE(s) Versions affectées Version corrigée
CVE-2026-111357 & CVE-2026-118527 25.1.1.2 et antérieures 25.1.1.3
CVE-2026-111357 & CVE-2026-118527 22.8R2.5 et antérieures 22.8R2.6
CVE-2026-104935 25.1.1.1 et antérieures 25.1.1.2
CVE-2026-104935 22.8R2.4 et antérieures 22.8R2.5

🔎 Artefacts et IOCs

Fichiers observés sur les appliances compromis :

  • /tmp/ : ml.py, rq5.py, mk.py, rr.py, pu.txt, sp_out.txt, spray_hits.json
  • /data/.icscap/ : dsstatmond, cap*, h.py
  • /home/runtime/tmp/ : ics-root-run-inband-*.pl, ics-root-result-inband-*

IP d’exploitation UTA0576 : 108.165.147.64

Indicateur réseau : requêtes vers /dana-na/auth/url_default/welcome.cgi avec en-têtes X-DSCGI-PATH suspects.

📄 Nature de l’article

Il s’agit d’une analyse technique d’urgence (Emergent Threat Response) publiée par Rapid7, visant à informer les équipes de sécurité sur la chaîne d’exploitation active, les artefacts forensiques et les versions corrigées disponibles.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1083 — File and Directory Discovery (Discovery)
  • T1552 — Unsecured Credentials (Credential Access)
  • T1005 — Data from Local System (Collection)
  • T1222 — File and Directory Permissions Modification (Defense Evasion)
  • T1070 — Indicator Removal (Defense Evasion)

IOC

  • IPv4 : 108.165.147.64 — AbuseIPDB · VT · ThreatFox
  • URLs : /dana-na/auth/url_default/welcome.cgi — URLhaus
  • CVEs : CVE-2026-104935 — NVD · CIRCL
  • CVEs : CVE-2026-111357 — NVD · CIRCL
  • CVEs : CVE-2026-118527 — NVD · CIRCL
  • Fichiers : ml.py
  • Fichiers : rq5.py
  • Fichiers : mk.py
  • Fichiers : rr.py
  • Fichiers : pu.txt
  • Fichiers : sp_out.txt
  • Fichiers : spray_hits.json
  • Fichiers : dsstatmond
  • Fichiers : h.py
  • Fichiers : wu.cgi
  • Chemins : /tmp/ml.py
  • Chemins : /tmp/rq5.py
  • Chemins : /tmp/mk.py
  • Chemins : /tmp/rr.py
  • Chemins : /tmp/pu.txt
  • Chemins : /tmp/sp_out.txt
  • Chemins : /tmp/spray_hits.json
  • Chemins : /data/.icscap/dsstatmond
  • Chemins : /data/.icscap/h.py
  • Chemins : /home/webserver/htdocs/dana/fb/smb/wu.cgi
  • Chemins : /home/runtime/dlogs/debuglog
  • Chemins : /var/log/audit/audit.log

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 88/100 (haute)

  • ✅ rapid7.com — source reconnue (liste interne) (20pts)
  • ✅ 7697 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 27 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 1/2 IOC(s) confirmé(s) (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (8pts)
  • ✅ 7 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : UTA0576 (5pts)
  • ✅ 2/3 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 108.165.147.64 (ip) → AbuseIPDB (46% confiance, 11 signalements) + VT (6/92 détections)

🔗 Source originale : https://www.rapid7.com/blog/post/etr-additional-ivanti-connect-secure-zero-days-exploited-in-the-wild-cve-2026-111357-cve-2026-118527/