Ivanti Connect Secure : comment vérifier l’exposition africaine à CVE-2026-104935

Une faille confirmée, une exposition africaine à établir

Ivanti a publié le 13 octobre 2026 un avis concernant CVE-2026-104935, une vulnérabilité d’Ivanti Connect Secure. Le registre CVE la décrit comme un contournement d’authentification permettant à un attaquant distant non authentifié d’exécuter des commandes arbitraires. CISA a ajouté la faille le même jour à son catalogue Known Exploited Vulnerabilities après avoir constaté une exploitation active impliquant du vol d’identifiants et de l’exfiltration de données.

Les versions affectées citées par les autorités incluent plusieurs branches 25.1 et 22.8 antérieures aux versions corrigées correspondantes. La situation impose une action rapide aux organisations qui utilisent réellement ces passerelles. Elle ne permet toutefois pas d’affirmer que tel opérateur, telle banque ou telle administration africaine est vulnérable. La présence du produit, la version déployée, l’exposition de l’interface et les traces de compromission sont quatre faits différents.

Cette distinction est essentielle. Les équipements d’accès distant se trouvent à la frontière du système d’information et concentrent souvent des identifiants, des sessions et des chemins vers des ressources internes. Une alerte mondiale est donc pertinente pour l’Afrique, mais elle doit déboucher sur une vérification méthodique plutôt que sur une liste spéculative de victimes.

Pourquoi une passerelle VPN mérite une priorité élevée

Une passerelle Ivanti Connect Secure est conçue pour être joignable depuis Internet afin de fournir un accès distant. Elle peut se trouver devant des applications métiers, des consoles d’administration ou des environnements utilisés par des prestataires. Une compromission réussie peut donc offrir à l’attaquant un point d’observation et un relais vers le réseau interne.

CVE-2026-104935 présente un score CVSS de 8,6. Le score n’est pas le seul motif d’urgence : l’exploitation réelle et l’absence d’authentification requise augmentent fortement la priorité. CISA indique que des acteurs ont utilisé la faille pour voler des identifiants et exfiltrer des données. Une mise à jour est nécessaire, mais elle ne répond pas à la question de savoir si l’équipement a été compromis avant l’installation du correctif.

Pour les organisations africaines, le risque peut être aggravé par des inventaires incomplets, des contrats de maintenance expirés ou une administration déléguée à plusieurs prestataires. Certaines équipes connaissent le nom commercial du service VPN sans connaître la version exacte du logiciel ou le propriétaire opérationnel de l’appliance. La première mesure de sécurité est donc de retrouver l’actif et sa responsabilité.

Vérifier sans transformer une alerte en affirmation

Les responsables doivent commencer par interroger leurs inventaires, contrats, configurations DNS et équipes réseau. L’objectif est d’établir si Ivanti Connect Secure est présent, quelle branche est installée, si l’équipement est accessible depuis Internet et quelle version corrigée correspond à cette branche. Une détection de bannière ou un résultat de moteur de recherche ne suffit pas à prouver la version interne ni l’état du correctif.

Les entités qui ne disposent pas d’un inventaire fiable peuvent examiner les achats, les certificats, les configurations d’accès distant, les règles de pare-feu et les journaux du proxy. Les filiales et prestataires doivent être inclus : une passerelle administrée par un tiers reste une voie d’accès vers l’organisation.

Il faut ensuite préserver les éléments utiles à l’investigation avant toute réinitialisation. Les journaux d’authentification, d’administration et de trafic, les changements de configuration, les comptes récemment créés et les connexions inhabituelles peuvent aider à reconstruire l’activité. Les autorités recommandent l’outil de contrôle d’intégrité d’Ivanti, tout en avertissant qu’un résultat propre n’exclut pas nécessairement une exploitation exécutée en mémoire.

Corriger, investiguer et renouveler les secrets

La réponse doit suivre deux pistes parallèles. La première consiste à appliquer la version corrigée adaptée à la branche, conformément à l’avis du fournisseur. La seconde consiste à rechercher une compromission antérieure. Se contenter de corriger peut laisser actifs des identifiants volés, des certificats copiés ou des accès persistants établis ailleurs dans le réseau.

Si des indices suspects sont découverts, l’organisation doit isoler l’appliance selon son plan de continuité, préserver les preuves et suivre la procédure de récupération du fournisseur. Les comptes utilisés sur la passerelle, les clés API, les secrets stockés et les certificats potentiellement exposés doivent être évalués puis renouvelés dans un ordre maîtrisé. Une rotation précipitée sans cartographie peut interrompre des services ; une rotation absente peut permettre le retour de l’attaquant.

Les équipes devraient également examiner les connexions établies depuis le VPN vers les systèmes internes durant la période pertinente. L’objectif n’est pas seulement de trouver une commande malveillante sur l’équipement, mais de déterminer si l’accès a servi à atteindre une messagerie, un annuaire, une console cloud ou un système de paiement.

Une réponse adaptée aux contraintes africaines

Les organisations disposant de plusieurs sites ou pays doivent éviter une approche centralisée qui oublie les équipements locaux. Chaque filiale doit confirmer son inventaire, sa version, la date de correction et le résultat de l’investigation. Les régulateurs sectoriels et CERT nationaux peuvent diffuser un questionnaire commun sans exiger la publication de détails qui exposeraient les victimes.

Pour les structures aux ressources limitées, la priorité peut être organisée ainsi : passerelles directement exposées, versions affectées, accès aux systèmes critiques, puis équipements de secours ou de test. Les partenaires de réponse à incident doivent être contactés avant une crise lorsque les compétences forensiques ne sont pas disponibles en interne.

Un tableau de suivi devrait au minimum contenir le propriétaire de l’actif, la version observée, la version cible, l’heure de correction, la période de journaux disponible, les anomalies identifiées et la décision concernant la rotation des secrets. Ces éléments permettent à la direction de suivre un risque réel plutôt qu’un simple statut « patché ».

Ce que les dirigeants doivent demander maintenant

Les dirigeants n’ont pas besoin de spéculer sur une liste d’organisations supposément touchées. Ils doivent obtenir des réponses documentées :

• utilisons-nous Ivanti Connect Secure, directement ou via un prestataire ;
• quelles versions et quelles interfaces sont exposées ;
• avons-nous installé la correction correspondant à chaque branche ;
• quels journaux et preuves ont été préservés avant modification ;
• avons-nous recherché des accès ultérieurs et évalué les secrets exposés ;
• qui attestera de la clôture de l’incident potentiel ?

CVE-2026-104935 rappelle qu’un équipement de sécurité peut devenir un point d’entrée critique. Pour l’Afrique, la bonne réponse n’est ni de minimiser une alerte étrangère ni de déclarer sans preuve des opérateurs vulnérables. Elle consiste à transformer l’alerte mondiale en inventaire local, en investigation traçable et en décisions de récupération vérifiables.

— ◆ —