Des failles critiques ébranlent Ivanti Sentry
Deux failles critiques dans Sentry, la solution de passerelle VPN d'Ivanti, sèment une confusion considérable dans le secteur de la sécurité informatique. Alors que l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) met en garde contre des attaques actives et a inscrit ces failles à son catalogue des vulnérabilités connues exploitées, Ivanti minimise elle-même la menace.
Les deux failles concernées atteignent le niveau de risque le plus élevé possible dans le système CVSS. CVE-2026-10520 obtient un score CVSS de 10.0 et permet à des attaquants, sans authentification préalable, d'injecter des commandes dans le système d'exploitation et d'exécuter du code arbitraire avec les droits root. La seconde faille, CVE-2026-10523, avec un score CVSS de 9.9, permet de contourner l'authentification et de créer des comptes d'administrateur arbitraires.
Systèmes concernés et mises à jour disponibles
Les failles concernent Ivanti Sentry dans les versions 10.5.1, 10.6.1, 10.7.0 et antérieures. L'entreprise a déjà fourni des correctifs : les mises à jour vers les versions 10.5.2, 10.6.2 et 10.7.1 comblent les deux failles.
Le fait que des preuves de concept soient déjà disponibles publiquement est particulièrement problématique. Les chercheurs en sécurité informatique de watchTowr Labs ont publié un exploit fonctionnel démontrant l'abus des deux failles. Cela abaisse considérablement la barrière pour d'éventuels attaquants.
Des appréciations contradictoires de la menace
Alors que plusieurs entreprises de sécurité informatique et la CISA mettent en garde contre des attaques actives, Ivanti maintient qu'aucune attaque réelle n'a eu lieu. Dans son avis de sécurité, l'entreprise indique n'avoir connaissance d'aucun cas d'exploitation avant la publication de l'avis. La CISA n'aurait inscrit la faille au catalogue KEV qu'en raison de tentatives d'attaque contre des pots de miel.
Ivanti fait en outre valoir que l'exploitation de la faille la plus critique, CVE-2026-10520, nécessite un accès au port de gestion 8443. Les interfaces d'administration ne devraient par principe pas être accessibles depuis Internet, même si des pots de miel simulent de telles erreurs de configuration.
Premières compromissions déjà confirmées
L'appréciation d'Ivanti semble toutefois déjà dépassée. La Shadowserver Foundation fait état, à partir de ses balayages réseau, de 19 instances vulnérables, dont au moins deux ont déjà été compromises par des portes dérobées. Les chercheurs estiment que les autres instances repérées sont elles aussi désormais tombées entre les mains d'attaquants.
Cette évolution souligne l'urgence de la situation et contredit la présentation minimisante de l'éditeur. Les chercheurs de Rapid7 mettent eux aussi en garde contre des attaques probables, plusieurs failles de Sentry ayant déjà par le passé été inscrites au catalogue de la CISA des vulnérabilités exploitées.
Menaces parallèles dans d'autres produits Ivanti
Outre les problèmes de Sentry, d'autres failles ont été révélées dans Endpoint Manager Mobile d'Ivanti. Elles sont considérées comme présentant un risque élevé et exigent elles aussi des contre-mesures rapides de la part des administrateurs.
Recommandations pour les administrateurs
Indépendamment des appréciations contradictoires sur la menace actuelle, les administrateurs ne devraient pas se laisser rassurer. Les mises à jour disponibles doivent être installées au plus vite, car ces failles permettent une compromission complète des systèmes concernés.
La vérification de la configuration réseau est particulièrement importante. Même si Ivanti fait valoir que les interfaces d'administration ne devraient pas être accessibles depuis Internet, la réalité montre que de telles erreurs de configuration sont fréquentes. Les organisations devraient donc :
- Installer immédiatement les correctifs disponibles
- Vérifier la segmentation réseau et les règles de pare-feu
- Surveiller les activités suspectes
- Réaliser des contrôles de sécurité réguliers de l'infrastructure
Perspectives et enseignements
Le cas d'Ivanti Sentry illustre la difficulté d'évaluer les cybermenaces. Alors que les éditeurs ont souvent tendance à minimiser l'exposition de leurs produits, la pratique montre que des failles critiques accompagnées d'exploits publiquement disponibles sont rapidement exploitées.
Les divergences d'appréciation entre la CISA, les chercheurs indépendants et l'éditeur soulignent l'importance d'une information à plusieurs sources dans les décisions de sécurité. Les administrateurs ne devraient pas s'en remettre aux seules déclarations des éditeurs, mais tenir compte également de sources externes et de renseignements sur les menaces.
Reste à voir comment la situation évoluera et si d'autres compromissions seront révélées. Les installations de portes dérobées déjà confirmées laissent toutefois peu de doute sur la gravité de la menace.
