https://cyberveille.ch/tags/exp2.py/ Recent content in Exp2.py on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sat, 07 Nov 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-11-07-ivanti-connect-secure-analyse-d-une-chaine-zero-day-attribuee-a-uta0576/ Sat, 07 Nov 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-11-07-ivanti-connect-secure-analyse-d-une-chaine-zero-day-attribuee-a-uta0576/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 3 novembre 2026 par Etugen (etugen.io), cet article présente une analyse technique approfondie d&rsquo;une opération d&rsquo;exploitation de vulnérabilités zero-day sur <strong>Ivanti Connect Secure</strong>, attribuée avec confiance modérée à l&rsquo;acteur <strong>UTA0576</strong>. L&rsquo;analyse part d&rsquo;un seul indicateur public (une IP déjà retirée) et remonte jusqu&rsquo;à l&rsquo;infrastructure active de l&rsquo;opérateur.</p> <h2 id="-vulnérabilités-exploitées">🎯 Vulnérabilités exploitées</h2> <p>La chaîne repose sur trois CVE enchaînées :</p> <ul> <li><strong>CVE-2026-104935</strong> : contournement d&rsquo;authentification par spoofing (via l&rsquo;en-tête <code>X-DSCGI-PATH</code>)</li> <li><strong>CVE-2026-118527</strong> : upload de fichier authentifié vers un chemin connu</li> <li><strong>CVE-2026-111357</strong> : élévation de privilèges locale authentifiée via <code>dsinvoked</code></li> </ul> <p>Ces vulnérabilités permettent un <strong>accès root non authentifié</strong> sur les appliances Ivanti Connect Secure 22.8R2.4, actif depuis le 3 octobre 2026. Les deux dernières ont été ajoutées au <strong>KEV de la CISA le 30 octobre 2026</strong>.</p>