Ivanti Connect Secure : préserver les traces avant la remise en service

Une passerelle d’accès distant permet à une équipe de rejoindre des ressources de l’entreprise depuis l’extérieur. Ivanti Connect Secure, souvent abrégé ICS, remplit ce rôle de VPN : le réseau privé virtuel relie l’utilisateur distant aux services autorisés. Si votre prestataire utilise ce matériel, il doit examiner l’alerte CERTFR-2026-ALE-013 publiée le 14 octobre 2026. Le CERT-FR y rapporte une exploitation active de la vulnérabilité CVE-2026-104935.

L’enjeu immédiat est double : limiter l’accès à l’équipement concerné et conserver de quoi établir ce qui s’est passé. Une remise en marche réussie indique que le service répond ; elle ne renseigne pas sur les accès qui ont pu avoir lieu auparavant. Le rapport d’investigation de Volexity du 13 octobre décrit notamment une exploitation sur une passerelle alors à jour, des recherches d’identifiants internes et des suppressions de traces. Ces observations concernent les cas étudiés par Volexity et ne constituent pas un diagnostic de votre entreprise.

Faire identifier la branche exacte, sans intervenir au hasard

L’alerte française vise les branches suivantes. Les numéros doivent être comparés dans leur branche, sans considérer qu’un numéro ressemblant suffit à confirmer la correction. Le tableau des systèmes affectés du CERT-FR sert de référence pour ce premier contrôle.

Branche Connect Secure	Versions concernées par l’alerte
22.8Rx	Versions antérieures à 22.8R2.5
25.1.1.x	Versions antérieures à 25.1.1.2
25.1.3.x	Versions antérieures à 25.1.3.1

Demandez au responsable technique une réponse qui associe l’identification de l’équipement, sa version, son exposition à Internet et la décision prise. Pour la direction d’une petite entreprise, il est utile d’ajouter les usages affectés : qui perd l’accès à quoi, quel moyen de travail temporaire est autorisé, qui décide du rétablissement. Cette liste d’organisation évite qu’une équipe cherche spontanément un autre accès non prévu.

L’isolement et la conservation des preuves passent avant le retour à la normale

Le CERT-FR place en priorité l’isolement total de l’équipement, vis-à-vis d’Internet comme du réseau interne. Il demande de préserver les traces, d’éviter si possible l’extinction et de conserver les journaux pour investigation. Pour une machine virtuelle, il prévoit un instantané du système de fichiers et de la mémoire vive. Ces opérations doivent être conduites par l’équipe compétente : une déconnexion improvisée ou une réinitialisation peut modifier les éléments à examiner. L’alerte détaille l’ordre des actions.

L’investigation doit aussi porter sur les accès depuis la passerelle vers d’autres systèmes. En cas de compromission, l’alerte prévoit le traitement des secrets concernés et des moyens d’authentification, en complément de la remise en état. Une simple mise à jour ne suffit donc pas à solder cet examen. Le prestataire doit préciser les actions applicables à votre configuration et leurs conséquences sur les utilisateurs.

Pour suivre la décision, tenez un relevé séparant trois éléments : ce qui est confirmé, ce qui reste à analyser et la condition nécessaire au rétablissement. Par exemple, une version corrigée peut être confirmée alors que l’examen des accès internes reste ouvert. Ne transformez pas ces deux lignes en une seule mention « incident résolu ». Demandez qui conserve les preuves et à quelle date sera donné le prochain état de situation ; aucun délai de résolution universel ne peut être déduit du bulletin.

Décrire les dépendances de votre site avant une interruption

Cet incident montre l’intérêt de savoir quel prestataire suit chaque accès et quel service peut être interrompu. Pour votre site public, Gaia présente les périmètres d’hébergement, de maintenance et de protection dans son approche de la cybersécurité du site. Cette lecture aide à formuler les contrôles attendus pour la présence web ; l’investigation d’une passerelle Ivanti doit être organisée avec le responsable de cette infrastructure.