CVE-2026-111357 : la chaîne Ivanti Connect Secure bouclée

Ce qui s'est passé

La CISA a ajouté le 30 octobre 2026 deux failles d'Ivanti Connect Secure à son catalogue KEV: CVE-2026-111357, une escalade de privilèges menant au root via le traitement des caches de l'interface d'administration, et CVE-2026-118527, une génération d'identifiants prévisibles permettant de déposer des fichiers à un emplacement connu. Elles complètent CVE-2026-104935, le contournement d'authentification avec exécution de code que Volexity observe depuis la première semaine d'octobre sous la trace UTA0576, exploité contre une appliance pleine de correctifs à l'époque. Enchaînées, les trois donnent une exécution de code à distance sans le moindre compte, puis le vol des identifiants stockés et l'exfiltration de données. Ivanti a publié le 29 octobre les versions qui ferment la chaîne. Le NVD note CVE-2026-111357 à 7,0 en CVSS 3.1.

Pourquoi c'est grave pour un hôtel

Ivanti Connect Secure se rencontre en hôtellerie comme porte d'entrée des équipes corporates, des prestataires de maintenance et parfois de la propriété pour rejoindre le réseau de l'établissement: PMS (logiciel de gestion hôtelière), caisse, supervision, contrôle d'accès. Une appliance compromise, c'est un poste de confiance installé au coeur du réseau: les attaquants documentés ont volé des identifiants de domaine et poursuivi le mouvement latéral depuis la machine elle-même. Patcher ne suffit plus si l'appliance a été exposée pendant la fenêtre d'exploitation, de la première semaine d'octobre au 29 octobre.

Qui est touché

• Ivanti Connect Secure 25.1.1.2 et antérieures, 25.1.2.2 et antérieures, 22.8R2.5 et antérieures, selon l'alerte CISA mise à jour le 30 octobre.
• Les appliances déjà corrigées de CVE-2026-104935 restaient exposées à l'escalade jusqu'au correctif du 29 octobre: le premier patch d'octobre ne fermait pas la chaîne.

Comment corriger

1. Identifier la branche logicielle de chaque appliance et mettre à niveau vers 25.1.1.3 ou 22.8R2.6, publiées le 29 octobre 2026; pour les matériels anciens, suivre le guide de migration 25.x d'Ivanti.
2. Exécuter l'Integrity Checker Tool après mise à jour; son résultat vierge n'écarte pas toute compromission, Volexity le confirme.
3. Rechercher dans les journaux les requêtes anormales vers /dana-na/auth/url_default/welcome.cgi et les bandeaux X-DSCGI-PATH incohérents avec l'URL demandée, signature de l'exploitation documentée.
4. En cas d'indice, ou si l'appliance est restée exposée sur Internet pendant octobre: remise à l'usine ou reconstruction complète, puis rotation de tous les identifiants et certificats ayant transité, comptes de domaine inclus. CISA traite ces scénarios comme compromis jusqu'à preuve du contraire.
5. Demander au prestataire qui administre la VPN une confirmation écrite de la version installée et du passage de l'Integrity Checker.
6. Sortir l'interface d'administration de tout accès direct depuis Internet et exiger un passage par une passerelle d'accès dédiée ou un VPN d'administration distinct.

Contexte

Cette chaîne s'inscrit dans la semaine des périmètres réseau: après le déni de service SSL VPN de Cisco (CVE-2026-76418) et la confirmation d'exploitation PHP2Shell sur Palo Alto Networks, un troisième constructeur d'accès distant passe en exploitation active documentée. Le point commun de ces épisodes n'est pas la note CVSS, moyenne ou élevée, mais l'exposition: une interface d'administration joignable depuis Internet vaut un compte volé, et le KEV américain ne classe plus les urgences à la sévérité déclarée, il classe à l'exploitation observée.