· CVE-2026-104935

Ivanti Connect Secure Contournement de l’authentification (usurpation)

8,6 CVSS · élevéeExploitée

Contournement de l’authentification (usurpation) dans Ivanti Connect Secure. Exploitable à distance par le réseau, sans authentification, sans action de l’utilisateur. CVSS 8,6 (gravité élevée). Selon la CISA, elle est déjà exploitée. Corrigée dans 25.1.1.2 et 25.1.3.0.

Page sécurité de l’éditeur

ivanti.com · Les informations de l’éditeur font foi.

En bref

CVE
CVE-2026-104935
Produit
Ivanti Connect Secure
Éditeur
Ivanti
Versions concernées
  • ≥ 25.1.0.0, < 25.1.1.2
  • ≥ 25.1.2.0, < 25.1.3.0
  • 22.8-r2
  • 22.8-r2.1
  • 22.8-r2.2
  • 22.8-r2.3
  • 22.8-r2.4
selon la NVD
Corrigé dans
25.1.1.2, 25.1.3.0
CVSS
8,6 (élevée)
CVSS 3.1, évalué par l’émetteur de la CVE
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
Exploitée
Oui, selon la CISA (dans le catalogue KEV depuis le 13 octobre 2026)
Type de faille
CWE-290 (Contournement de l’authentification (usurpation))
Publiée le
Modifiée le

Que faire ?

  1. Mettre à jour vers une version corrigée : 25.1.1.2 et 25.1.3.0 ou plus récente, selon la branche utilisée.
  2. Lire l’avis de l’éditeur : il précise les versions exactes et, le cas échéant, des contournements si la mise à jour ne peut pas être faite tout de suite.
  3. La faille étant déjà exploitée : après la mise à jour, vérifier que le système n’a pas été compromis auparavant.
  4. Vérifier aussi les installations de test, de préproduction et celles oubliées du même logiciel.
Page sécurité de l’éditeur ↗

Description originale

En anglais, issue de la fiche CVE. Le résumé ci-dessus est établi à partir des données structurées.

Authentication bypass by spoofing in ICS before version 25.1.3.0 allows a remote unauthenticated attacker to execute arbitrary commands. This does not impact ICS version 22.7R2.14 or prior.

Intitulé à la CISA : Ivanti Connect Secure Authentication Bypass by Spoofing Vulnerability

Références officielles

Sources

Données de la NVD (NIST) et du catalogue KEV de la CISA, récupérées le 2 novembre 2026. Ce site utilise des données de l’API de la NVD sans être approuvé ni certifié par la NVD. Informations fournies sans garantie.

Fiche NVD ↗Fiche CVE.org ↗Catalogue KEV de la CISA ↗

Quelles versions de logiciels votre site laisse-t-il voir ? Le test de sécurité gratuit le vérifie.

Tester gratuitement