Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.
Ivanti Connect Secure 22.8R2.4 maltraite la façon dont le courtier dsinvocé fait confiance aux données de configuration DSCache, conduisant à une escalade de privilège vers la racine, comme exploité dans la nature en octobre 2026.
Texte officiel (anglais)
Ivanti Connect Secure 22.8R2.4 mishandles the manner in which the dsinvoked broker trusts DSCache configuration data, leading to privilege escalation to root, as exploited in the wild in October 2026.
Versions touchées
ivanti connect secure à partir de 25.1.0.0, avant 25.1.1.3
Explication générée à partir des données officielles, sans test de notre part. Elle peut simplifier ou se tromper.
Comment elle s’exploite
Un attaquant peut l’exploiter avec un accès local à la machine, avec un compte ordinaire, sans action de la victime. L’attaque demande des conditions particulières.
Ce qu’un attaquant pourrait faire
lire des données confidentielles
modifier des données ou le système
rendre le service indisponible
Mini glossaire
CVE
Numéro public unique attribué à une faille, pour que tout le monde parle de la même chose.
CVSS
Note de gravité de 0 à 10. Elle mesure la gravité théorique, pas le risque réel chez vous.
CWE
Catégorie du type d’erreur à l’origine de la faille.
KEV
Liste de l’agence américaine CISA recensant les failles réellement exploitées par des attaquants.
Correctif
Mise à jour publiée par l’éditeur pour supprimer la faille.
Atténuation
Mesure temporaire qui réduit le risque quand le correctif n’est pas encore appliqué.
Le CISA a ajouté deux nouvelles vulnérabilités à son catalogue de vulnérabilités Explicitées (KEV), en se fondant sur des preuves d'exploitation active. CVE-2026-111357 Ivanti Connect Authentification sécurisée manquante pour la vulnérabilité de la fonction critique CVE-2026-118527 Ivanti Connect Génération sécurisée de nombres prévisibles ou de nombres de vulnérabilités Ces types de vulnérabilités sont un vecteur d'attaque fréquent pour mal