Appareils périmétriques assiégés : des zero-days Ivanti, Cisco et Palo Alto exploités en conditions réelles

Zero-days Ivanti, Cisco et Palo Alto exploités ; ajouts au KEV de la CISA et record de 1 413 correctifs Microsoft. Ce que le TI scolaire et gouvernemental doit

  • Trois zero-days activement exploités ont frappé des appareils périmétriques cette semaine : une chaîne Ivanti Connect Secure (une faille suivie sous CVE-2026-104935), Cisco Secure Email Gateway (CVE-2026-76519, une traversée de chemin) et Palo Alto PAN-OS (CVE-2026-0322).
  • La CISA a ajouté quatre vulnérabilités à son catalogue KEV, et Microsoft a publié un record de 1 413 correctifs, dont une faille Windows Shell déjà exploitée.
  • Les réseaux scolaires et gouvernementaux présentent un risque accru : les VPN, pare-feu et passerelles de courriel sont exposés à Internet et souvent reliés aux systèmes d'identité internes.

À faire maintenant

  1. Inventoriez immédiatement tous les appareils périmétriques : Ivanti Connect Secure, Cisco Secure Email Gateway, pare-feu Palo Alto PAN-OS et toute instance AhsayCBS. Notez les versions, l'exposition Internet et l'accessibilité des interfaces d'administration.
  2. Appliquez sans délai les correctifs pour CVE-2026-0322, CVE-2026-76519, CVE-2026-105133 et CVE-2026-105134. Pour la chaîne Ivanti, corrigez les deux failles déjà patchées et considérez la troisième comme non corrigée : isolez ou restreignez l'appareil en périphérie jusqu'à la sortie du correctif. Suivez la RCE root de Cisco SEG signalée séparément et appliquez les consignes de Cisco dès leur publication.
  3. Présumez la compromission de toute appliance Ivanti Connect Secure : capturez d'abord les preuves volatiles, puis faites tourner tous les identifiants, certificats, clés API et secrets de comptes de service ayant transité par le VPN, et révoquez les sessions actives.
  4. Traquez dans les journaux les accès root, connexions sortantes inhabituelles, nouveaux comptes locaux et modifications de configuration. Acheminez les journaux VPN, pare-feu et passerelle de courriel vers un SIEM inviolable pour empêcher leur effacement.
  5. Imposez le MFA et le moindre privilège sur tous les comptes d'accès distant et d'administration, limitez les interfaces de gestion à des IP internes de confiance et abonnez-vous au catalogue KEV de la CISA et aux avis des fournisseurs.

Articles liés