CVE-2026-118527: Vulnérabilité de génération de nombres ou d'identificateurs prévisibles dans Ivanti Connect Secure

Le catalogue de la CISA indique que la faille permet à un attaquant à distance authentifié de télécharger des fichiers avec du contenu contrôlé par l'attaquant vers un emplacement connu sur le disque[2]. Il ajoute que la faille peut être chaînée avec les CVE-2026-104935 et CVE-2026-111357.[2]The Hacker News rapporte que la faille a un score CVSS de 4,3[3]. Il rapporte également que les attaquants les ont chaînées pour obtenir une exécution de code au niveau root non authentifiée.[3]SecurityOnline rapporte qu'Ivanti a déclaré : « Nous sommes conscients d'une exploitation en cours affectant un nombre limité de clients au moment de la divulgation »[4] lorsque les trois flaws sont chaînées. La CISA déclare qu'elle a ajouté CVE-2026-104935 à son catalogue KEV le 13 octobre 2026, et CVE-2026-111357 et CVE-2026-118527 le 30 octobre 2026.[1] Selon The Hacker News, les agences civiles fédérales doivent appliquer les correctifs pour CVE-2026-111357 avant le 2 novembre 2026, et pour CVE-2026-118527 avant le 13 novembre 2026.[3]Security Affairs rapporte que les utilisateurs de version 25.1.1.2 et antérieure[5] doivent passer à la version 25.1.1.3[5], et les utilisateurs de version 22.8R2.5 et antérieure[5] doivent passer à la version 22.8R2.6.[5]VITI Security rapporte que les entreprises de renseignement sur les menaces attribuent l'activité de la chaîne d'exploitation à un acteur de menace non documenté désigné comme UTA0576.[6]La CISA avertit que l'outil de vérification d'intégrité d'Ivanti peut ne pas détecter les preuves d'exploitation de CVE-2026-104935 car les commandes de l'acteur de menace s'exécutent en mémoire.[1]