Le système ITSM d’Ivanti sous la loupe : comment deux failles négligées auraient pu permettre aux attaquants de s’attarder

Tout a commencé comme un mardi ordinaire pour les clients d’Ivanti, jusqu’à ce qu’un avis discret révèle deux vulnérabilités qui auraient pu offrir aux cybercriminels un point d’ancrage - bien après que le service informatique ait cru avoir verrouillé les accès. Avec le correctif déjà déployé pour les utilisateurs cloud et les administrateurs sur site se précipitant pour mettre à jour, cet épisode soulève des questions sur la facilité avec laquelle les attaquants peuvent se faufiler, même dans les systèmes de gestion IT les plus fiables.

Ivanti, poids lourd de la gestion des services IT, a discrètement corrigé deux vulnérabilités qui - bien que n’étant pas spectaculaires par leur gravité - auraient pu permettre à des attaquants distants de persister dans des environnements supposés sécurisés. La première faille, CVE-2026-4913, est d’une simplicité trompeuse : un problème de « protection inadéquate d’un chemin alternatif » qui permet à un attaquant distant et authentifié de conserver l’accès même après la désactivation de son compte. En résumé, un initié ou un compte compromis pouvait prolonger sa présence, échappant aux procédures classiques de révocation d’accès.

La seconde vulnérabilité, CVE-2026-4914, est un classique du cross-site scripting (XSS) stocké. Exploitable uniquement par des utilisateurs authentifiés et nécessitant une certaine interaction, elle peut sembler limitée - mais entre de mauvaises mains, elle pourrait permettre à un utilisateur de siphonner les données de session d’un autre, exposant potentiellement des informations sensibles dans des environnements d’entreprise. Les deux failles ont été corrigées dans Ivanti Neurons for ITSM version 2025.4, et bien que la société affirme n’avoir constaté aucune exploitation active, le risque de persistance furtive et de mouvements latéraux demeure réel.

Pour les clients cloud, Ivanti a agi rapidement, appliquant le correctif à tous les environnements au 12 décembre 2025. Les utilisateurs sur site, en revanche, doivent agir de manière proactive pour sécuriser leurs déploiements - une division désormais familière à l’ère de l’IT hybride. La transparence de l’entreprise apporte un certain réconfort, mais met aussi en lumière le jeu du chat et de la souris permanent entre éditeurs de logiciels et acteurs malveillants.

À noter, Ivanti a précisé que d’autres vulnérabilités très médiatisées - comme les failles OpenSSH révélées plus tôt cette année - n’affectent pas leurs produits principaux, bien que des versions mises à jour soient prévues pour de futures publications. Cette approche par couches dans la gestion des correctifs souligne la complexité des environnements IT modernes, où même des vulnérabilités « moyennes » peuvent entraîner des brèches majeures si elles sont négligées.

En l’absence de preuve d’exploitation active, cet incident pourrait vite disparaître des radars. Mais pour les équipes de sécurité, c’est un rappel opportun : dans l’univers de l’ITSM, même des failles modérées peuvent ouvrir la porte à des menaces persistantes. Vigilance, application rapide des correctifs et scepticisme sain restent la meilleure défense contre la prochaine brèche silencieuse.

WIKICROOK

• CVE : CVE, ou Common Vulnerabilities and Exposures, est un système permettant d’identifier et de suivre de manière unique les failles de cybersécurité connues publiquement dans les logiciels et matériels.
• XSS : XSS est une vulnérabilité web où des attaquants injectent des scripts malveillants dans des pages web, mettant en danger les données et la sécurité des utilisateurs. Une validation correcte des entrées permet de l’éviter.
• On : Le traitement sur l’appareil signifie que les données sont traitées localement sur votre appareil, sans être envoyées à des serveurs externes, ce qui améliore la confidentialité et la sécurité.
• Persistance : La persistance désigne les techniques utilisées par les malwares pour survivre aux redémarrages et rester cachés sur les systèmes, souvent en imitant des processus ou mises à jour légitimes.
• Authentification : L’authentification est le processus de vérification de l’identité d’un utilisateur avant de lui permettre d’accéder à des systèmes ou des données, à l’aide de mots de passe ou de données biométriques.