🔍 Contexte

Publié le 11 novembre 2026 par Criminal IP (AI Spera), cet article analyse une chaîne d’exploitation triple zero-day affectant Ivanti Connect Secure (ICS), un appliance SSL VPN largement déployé en périphérie de réseau. L’exploitation active a été confirmée dès le 3 octobre 2026, avant la disponibilité de correctifs complets.

🧩 Les trois vulnérabilités

  • CVE-2026-104935 (CVSS 8.6) : Contournement d’authentification + exécution de code à distance via une race condition d’écriture de fichier. Fournit un point d’entrée non authentifié avec les privilèges du processus web.
  • CVE-2026-111357 (CVSS 8.8) : Élévation de privilèges via un composant broker interne (dsinvoked) qui fait confiance aux données de cache de configuration (DSCache) sans vérifier l’authentification de l’appelant (CWE-306). Permet d’escalader vers root.
  • CVE-2026-118527 (CVSS 4.3) : Upload de fichiers vers des emplacements prédictibles sur le disque (CWE-330), permettant à un attaquant authentifié à distance de déposer des fichiers contrôlés à des chemins connus.

⛓️ Chaîne d’attaque

  1. Étape 1 : Exploitation de CVE-2026-104935 → accès non authentifié avec privilèges web server
  2. Étape 2 : Exploitation de CVE-2026-111357 → élévation vers root via le broker dsinvoked
  3. Étape 3 : Exploitation de CVE-2026-118527 → upload de fichiers vers des chemins prédictibles pour ancrage persistant

Résultat : exécution de code root non authentifiée sur des appliances entièrement patchées (au sens du premier correctif).

⏱️ Chronologie critique (écart de 16 jours)

  • 3 octobre 2026 : Exploitation confirmée dans la nature
  • 13 octobre 2026 : Correctif pour CVE-2026-104935 publié + ajout au KEV CISA
  • 16 octobre 2026 : Délai de remédiation fédérale pour CVE-2026-104935
  • 29 octobre 2026 : Correctifs pour CVE-2026-111357 et CVE-2026-118527 publiés
  • 30 octobre 2026 : Ajout des deux CVE restants au catalogue KEV CISA
  • 2 et 13 novembre 2026 : Délais de remédiation fédérale pour les deux CVE restants

Pendant 16 jours, des appliances considérées comme entièrement patchées restaient exposées aux deux autres maillons de la chaîne.

🎯 Acteur de menace et objectifs

Le groupe UTA0576 a été identifié comme responsable. Contrairement aux attaques typiques, les attaquants n’ont pas déployé de web shells ou de ransomware : ils ont silencieusement extrait des identifiants et des informations d’annuaire tout en préparant un mouvement latéral vers l’environnement interne.

🌐 Exposition Internet (données Criminal IP, novembre 2026)

  • 2 014 assets identifiés via title: "Ivanti Connect Secure"
  • 1 530 assets (76%) exposant le chemin de login par défaut /dana-na/auth/url_default/welcome.cgi
  • 1 729 assets (86%) classifiés comme services SSL VPN
  • 196 assets (10%) présentant des certificats SSL expirés → groupe prioritaire d’inspection

📦 Versions affectées et correctifs

  • 25.1.1.2 et antérieures → corrigé en 25.1.1.3
  • 22.8R2.5 et antérieures → corrigé en 22.8R2.6
  • Branches 13.1 (≤13.1.1.18) → corrigé en 13.1.2.57
  • Branches 13.0 (≤13.0.2.29) → corrigé en 13.0.3.63
  • Versions 12.x et antérieures : non affectées

📰 Nature de l’article

Il s’agit d’une analyse technique approfondie publiée par Criminal IP, combinant description de la chaîne d’exploitation, chronologie de divulgation, et mesure de la surface d’attaque exposée sur Internet via leur moteur de recherche CTI.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1222 — File and Directory Permissions Modification (Defense Evasion)
  • T1083 — File and Directory Discovery (Discovery)
  • T1552 — Unsecured Credentials (Credential Access)
  • T1505.003 — Server Software Component: Web Shell (Persistence)
  • T1560 — Archive Collected Data (Collection)

IOC

  • URLs : /dana-na/auth/url_default/welcome.cgi — URLhaus
  • CVEs : CVE-2026-104935 — NVD · CIRCL
  • CVEs : CVE-2026-111357 — NVD · CIRCL
  • CVEs : CVE-2026-118527 — NVD · CIRCL

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 11 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 60/100 (moyenne)

  • ⬜ criminalip.io — source non référencée (0pts)
  • ✅ 30609 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 4 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ 0/1 IOCs confirmés externellement (0pts)
  • ✅ 7 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : UTA0576 (5pts)
  • ✅ 2/3 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://www.criminalip.io/knowledge-hub/blog/38984#mtm_campaign=Weekly-CIP-Newsletter