Traduit de l’anglais par TechUpscale à l’aide de l’IA et vérifié par rapport à l’original. Lire l’original en anglais
L’Agence de cybersécurité et de sécurité des infrastructures des États-Unis (CISA) a ajouté CVE-2026-111357, une vulnérabilité d’absence d’authentification pour une fonction critique dans Ivanti Connect Secure, à son catalogue des vulnérabilités exploitées connues (KEV) le 30 octobre 2026. La CISA ajoute une faille au catalogue lorsqu’elle dispose de preuves fiables que des attaquants l’exploitent dans la nature.
Ce que dit la CISA
Ivanti Connect Secure contient une vulnérabilité d’absence d’authentification pour une fonction critique qui pourrait permettre à un attaquant local authentifié d’élever ses privilèges. Cette vulnérabilité peut être chaînée avec CVE-2026-104935 et CVE-2026-118527.
— Entrée du catalogue KEV de la CISA pour CVE-2026-111357
Faits clés
| CVE | CVE-2026-111357 |
|---|---|
| Fournisseur / produit | Ivanti Connect Secure |
| Ajouté au KEV | 30 octobre 2026 |
| Date limite fédérale | 2 novembre 2026 |
| Utilisation de ransomware connue | Inconnue |
| Faiblesse (CWE) | CWE-306, CWE-862, CWE-345 |
| Triage médico-légal de la CISA | Oui |
| Score de base CVSS (NVD) | 7 Élevé |
| Vecteur CVSS | CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
Qui doit agir et quand
Les agences civiles de l’exécutif fédéral américain sont tenues de corriger la vulnérabilité d’ici le 2 novembre 2026. La CISA exhorte toutes les organisations à donner la priorité aux failles répertoriées dans le KEV dans le cadre de leur gestion des vulnérabilités.
Action requise par la CISA pour cette entrée :
Appliquer les atténuations conformément aux instructions du fournisseur, en garantissant la conformité avec les directives de la directive BOD 26-04 de la CISA intitulée « Prioritizing Security Updates Based on Risk » (voir l’URL dans les notes) et les exigences de triage médico-légal de la CISA (« Forensics Triage Requirements », voir l’URL dans les notes). Suivre les directives applicables de la BOD 26-04 pour les services cloud ou cesser d’utiliser le produit si les atténuations ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition à Internet de chaque actif et de garantir le respect des directives de correctifs de la BOD 26-04.
Références
- Catalogue des vulnérabilités exploitées connues de la CISA https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- NIST NVD — CVE-2026-111357 https://nvd.nist.gov/vuln/detail/CVE-2026-111357
- hub.ivanti.com https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US
- www.cisa.gov https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerability-ivanti-connect-secure
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk