CVE-2026-111357 : Vulnérabilité de Ivanti Connect Secure – Authentification manquante pour une fonction critique

La CISA déclare avoir ajouté CVE-2026-104935 à son catalogue KEV le 13 octobre 2026, et CVE-2026-111357 et CVE-2026-118527 le 30 octobre 2026.[1] Selon la CISA, les failles affectent Ivanti Connect Secure versions 25.1.1.2 et antérieures, 25.1.2.2 et antérieures, et 22.8R2.5 et antérieures.[1]L'enregistrement CVE publié sur Threatint indique que le produit gère mal la manière dont le courtier dsinvoked fait confiance aux données de configuration DSCache, ce qui entraîne une escalade de privilèges vers root[2]. Dans cette chaîne, CVE-2026-111357 manque d'authentification pour une fonction critique[3] et élève les privilèges vers root, donnant à l'attaquant un contrôle sans restriction sur l'appareil.[3] Le média cite Ivanti comme déclarant être conscient de l'exploitation « affectant un nombre limité de clients au moment de la divulgation »[3] lorsque les trois CVE sont chaînées. L'enregistrement CVE sur Threatint indique une notation HAUTE : 7.0[2] Selon SecurityOnline, Volexity a collaboré avec Ivanti pour analyser le comportement de l'acteur malveillant[3]. Le média indique également que Ivanti a publié des correctifs logiciels pour toutes les versions prises en charge.[3]La CISA exhorte les organisations disposant d'appareils Ivanti Connect Secure affectés et de déploiements à mettre à jour immédiatement vers la dernière version[1]. L'agence avertit également que l'outil Integrity Checker de Ivanti peut ne pas détecter les preuves d'exploitation de CVE-2026-104935 car les commandes de l'acteur malveillant s'exécutent en mémoire.[1]