Traduit de l’anglais par TechUpscale à l’aide de l’IA et vérifié par rapport à l’original. Lire l’original en anglais
L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté CVE-2026-111357, une vulnérabilité d’absence d’authentification pour une fonction critique dans Ivanti Connect Secure, à son catalogue des vulnérabilités exploitées connues (KEV) le 30 octobre 2026. La CISA ajoute une faille à ce catalogue lorsqu’elle dispose de preuves fiables indiquant que des attaquants l’exploitent activement.
Ce que dit la CISA
Ivanti Connect Secure contient une vulnérabilité d’absence d’authentification pour une fonction critique qui pourrait permettre à un attaquant local authentifié d’élever ses privilèges. Cette vulnérabilité peut être combinée avec CVE-2026-104935 et CVE-2026-118527.
— Entrée du catalogue KEV de la CISA pour CVE-2026-111357
Faits clés
| CVE | CVE-2026-111357 |
|---|---|
| Fournisseur / produit | Ivanti Connect Secure |
| Ajouté au KEV | 30 octobre 2026 |
| Date limite fédérale | 2 novembre 2026 |
| Utilisation de ransomware connue | Inconnue |
| Faiblesse (CWE) | CWE-306, CWE-862, CWE-345 |
| Triage forensique de la CISA | Oui |
| Score de base CVSS (NVD) | 7 Élevé |
| Vecteur CVSS | CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
Qui doit agir et quand
Les agences civiles de l’exécutif fédéral américain sont tenues de corriger la vulnérabilité d’ici le 2 novembre 2026. La CISA exhorte toutes les organisations à donner la priorité aux failles répertoriées dans le KEV dans le cadre de leur gestion des vulnérabilités.
Action requise par la CISA pour cette entrée :
Appliquer les mesures d’atténuation conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA « Prioritizing Security Updates Based on Risk » (voir l’URL dans les notes) et les exigences de triage forensique de la CISA (« Forensics Triage Requirements », voir l’URL dans les notes). Suivre les directives applicables de la BOD 26-04 pour les services cloud ou cesser l’utilisation du produit si les mesures d’atténuation ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de veiller au respect des directives de correctifs de la BOD 26-04.
Références
- Catalogue des vulnérabilités exploitées connues de la CISA https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- NIST NVD — CVE-2026-111357 https://nvd.nist.gov/vuln/detail/CVE-2026-111357
- hub.ivanti.com https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935?language=en_US
- www.cisa.gov https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerability-ivanti-connect-secure
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk
Notre analyse : ce que signifie CVE-2026-111357 et que faire
En bref : Ivanti Connect Secure contient une vulnérabilité d’absence d’authentification qui permet aux attaquants d’élever leurs privilèges. Selon la NVD, la version 22.8R2.4 gère mal la façon dont le courtier d’invocations drout (dsinvoked) fait confiance aux données de configuration DSCache, ce qui entraîne une élévation de privilèges au niveau root. La CISA exige l’application des mesures d’atténuation du fournisseur et le respect des directives de la BOD 26-04.
Comment fonctionne la faille
Selon la CISA, Ivanti Connect Secure contient une absence d’authentification pour une fonction critique. De plus, la NVD indique que la version 22.8R2.4 gère mal la manière dont le courtier d’invocations drout fait confiance aux données de configuration DSCache. Cette faille permet à un attaquant local authentifié d’élever ses privilèges.
Ce que peut faire un attaquant
Selon la NVD, la faiblesse conduit à une élévation de privilèges au niveau root. La CISA note que cette vulnérabilité peut être combinée avec CVE-2026-104935 et CVE-2026-118527.
Quel est le degré de gravité
| Sévérité (NVD) | 7 Élevé |
|---|---|
| Où l’attaquant doit se trouver | Déjà sur l’appareil (accès local) |
| Complexité de l’attaque | Élevée : nécessite des conditions spécifiques |
| Connexion nécessaire | Un compte utilisateur de base |
| Interaction de la victime | Aucune : personne n’a besoin de cliquer sur quoi que ce soit |
| Exposition des données | Élevée : l’attaquant peut lire des données sensibles |
| Altération | Élevée : l’attaquant peut modifier des données ou du code |
| Perturbation | Élevée : l’attaquant peut mettre le système hors service |
Lecture en français simple du vecteur CVSS CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H.
Signaux de menace
- Exploité activement : répertorié par la CISA le 30 octobre ; les agences fédérales américaines doivent le corriger d’ici le 2 novembre.
- KEV VulnCheck : exploitation signalée (répertoriée le 16 octobre), 2 rapports. 14 jours avant la CISA. Premier rapport : nvd.nist.gov.
- Probabilité (EPSS) : 0,32 % de chance d’activité d’exploitation au cours des 30 prochains jours, supérieur à 25 % de toutes les CVE.
- Évaluation de la CISA (SSVC) : exploitation constatée ; non facilement automatisée ; contrôle total du système affecté.
Qui devrait agir en premier
Selon la CISA, les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de veiller au respect des directives de correctifs de la BOD 26-04, avec une date d’échéance requise au 02/11/2026.
Comment y remédier
- Appliquer les mesures d’atténuation conformément aux instructions du fournisseur.
- Garantir la conformité avec la directive BOD 26-04 de la CISA « Prioritizing Security Updates Based on Risk » et les exigences de triage forensique de la CISA.
- Suivre les directives applicables de la BOD 26-04 pour les services cloud ou cesser l’utilisation du produit si les mesures d’atténuation ne sont pas disponibles.
Si vous ne pouvez pas encore corriger la faille
Les sources officielles ne répertorient pas de contournement. Action requise par la CISA : Appliquer les mesures d’atténuation conformément aux instructions du fournisseur, en garantissant la conformité avec la directive BOD 26-04 de la CISA « Prioritizing Security Updates Based on Risk » et les exigences de triage forensique de la CISA. Suivre les directives applicables de la BOD 26-04 pour les services cloud ou cesser l’utilisation du produit si les mesures d’atténuation ne sont pas disponibles. Les parties prenantes sont responsables d’évaluer l’exposition Internet de chaque actif et de veiller au respect des directives de correctifs de la BOD 26-04.
Chronologie
- 15 octobre 2026 : publié dans la base de données des vulnérabilités du NIST
- 30 octobre 2026 : la CISA confirme l’exploitation active
- 2 novembre 2026 : date limite pour les agences fédérales américaines pour appliquer le correctif
Sources
- Enregistrement NVD pour CVE-2026-111357
- Catalogue des vulnérabilités exploitées connues de la CISA
- Avis de sécurité du fournisseur : hub.ivanti.com
- MITRE CWE-829
- Système de score de prédiction des exploits (EPSS) de FIRST
- Enrichissement des vulnérabilités de la CISA (évaluation SSVC)
- VulnCheck KEV (rapports d’exploitation ; données © VulnCheck)
Cette analyse a été rédigée à partir des sources officielles ci-dessus et vérifiée par rapport à celles-ci avant sa publication. Les détails sur les versions proviennent de la base de données du NIST et peuvent changer à mesure que les fournisseurs mettent à jour leurs avis ; confirmez toujours la version corrigée dans l’avis du fournisseur.