Ivanti a publié le 29 octobre 2026 les deux derniers correctifs qui manquaient pour sa passerelle VPN Connect Secure. Cet équipement permet de se connecter à distance au réseau d'une organisation. Il est attaqué par des pirates depuis début octobre. Désormais, toutes les failles utilisées dans ces attaques sont corrigées. Mais installer la mise à jour ne suffit pas à garantir qu'aucune intrusion n'a eu lieu avant.

Ivanti Connect Secure : ce qui s'est passé

Selon Clubic, des pirates ont réussi début octobre à prendre le contrôle d'équipements Ivanti Connect Secure pourtant à jour. Ils combinaient plusieurs failles : trois au total, d'après Help Net Security et The Hacker News. Ivanti a bouché la principale voie d'attaque le 13 octobre. Les deux autres failles ont été corrigées le 29 octobre, ce que le CERT-FR a confirmé dans une alerte mise à jour le 2 novembre 2026, selon Clubic.

L'agence américaine CISA a par ailleurs ajouté ces deux failles à son catalogue des failles activement exploitées, le vendredi 30 octobre. Ce catalogue recense les failles dont l'exploitation par des pirates est avérée.

D'après les chercheurs de Volexity, cités par Help Net Security, les attaquants cherchaient à s'installer discrètement dans le réseau des organisations visées. Rapid7 indique qu'ils ont aussi cherché à voler des identifiants. Leurs objectifs finaux n'ont pas pu être établis, car l'opération a été détectée et interrompue.

Votre cabinet est-il concerné ?

Vous êtes concerné uniquement si votre cabinet, ou le prestataire qui gère votre informatique, utilise une passerelle VPN Ivanti Connect Secure. Les sources consultées ne disent pas que des cabinets médicaux ont été visés. Si vous n'utilisez pas cet équipement, il n'y a rien à faire de votre côté sur ce sujet.

Si vous ne savez pas quel VPN est utilisé pour accéder à distance à votre réseau, la question peut être posée à votre prestataire informatique.

Ce que vous pouvez faire

Les opérations techniques sont à confier à la personne qui administre l'équipement. Voici ce que recommandent les sources :

  • Installer la version corrigée. Selon Clubic, il s'agit des versions 22.8R2.6, 25.1.1.3 ou 25.1.3.1, selon la branche utilisée. Les versions 25.1.3.x ne sont pas touchées par les deux dernières failles.
  • Rechercher des traces d'intrusion après la mise mise à jour. Les pirates effaçaient leurs traces et échappaient à l'outil de vérification d'Ivanti. Un résultat « propre » de cet outil n'exclut donc pas une compromission, précisent Rapid7 et Volexity via Help Net Security.
  • En cas de compromission avérée ou suspectée : isoler l'équipement, enquêter sur l'étendue de l'attaque, réinitialiser l'appareil, puis renouveler les identifiants et certificats qui ont pu être exposés. Rapid7 conseille aussi de conserver la mémoire et les journaux de l'appareil avant tout redémarrage, si c'est possible.

En cas de doute sur un comportement inhabituel de votre accès à distance, ne tentez pas de le résoudre seul : prévenez votre prestataire.

À qui s'adresser

L'équipe de TechnoSanté Île-de-France peut vous aider à savoir si votre cabinet utilise cet équipement et à échanger avec votre prestataire. Elle est joignable au 01 64 69 02 64.

Sources

Cet article vous a-t-il été utile ?