Deux familles de VPN d’entreprise sont visées par des attaques en cours : l’agence américaine de cybersécurité CISA a ajouté fin octobre une faille de Cisco Secure Firewall ASA et deux failles d’Ivanti Connect Secure à sa liste des vulnérabilités activement exploitées, avec des délais de correction de quelques jours seulement.
Les points :
Quelles failles ont été ajoutées à la liste de la CISA ? #
La CISA tient un catalogue des vulnérabilités exploitées, le « KEV ». Une faille n’y entre que si des attaques réelles ont été constatées. Les administrations fédérales américaines doivent alors corriger dans un délai fixé, et le catalogue sert de signal d’alarme bien au-delà des États-Unis.
À lire Windows 11 : Microsoft corrige enfin le bug Always On VPN avec la KB5127936
Trois entrées concernent des passerelles VPN d’entreprise, ces boîtiers qui permettent aux salariés en télétravail de se connecter au réseau interne de leur société. Ce sont des cibles de choix : exposées sur Internet par nature, elles donnent accès à tout ce qui se trouve derrière.
Cisco ASA : le VPN SSL peut être mis à terre à distance #
La première faille, CVE-2026-76418, touche les pare-feu Cisco Secure Firewall ASA et FTD. Selon l’avis de sécurité de Cisco publié le 28 octobre, un attaquant non authentifié peut provoquer le redémarrage inattendu de l’équipement. Le résultat est un déni de service : plus aucun salarié ne peut se connecter au VPN.
Cisco lui attribue un score de gravité de 8,6 sur 10. Le problème vient d’erreurs de logique dans le service de VPN SSL d’accès à distance, quand une authentification secondaire est configurée sur un groupe de tunnels. Le constructeur indique avoir eu connaissance d’une exploitation active en octobre 2026.
Pas de contournement, une mise à jour à faire
« Il n’existe pas de contournement », précise Cisco. Une mesure d’atténuation existe : désactiver l’authentification secondaire sur le groupe de tunnels concerné. Mais la seule vraie solution reste la mise à jour vers une version corrigée, listée branche par branche dans l’avis. La CISA avait fixé l’échéance au 1er novembre pour les agences fédérales.
À lire Always On VPN : Microsoft revient sur sa correction, le bug de Windows 11 toujours actif
Ivanti Connect Secure : deux failles qui s’enchaînent #
Le lendemain, le 30 octobre, la CISA a ajouté deux failles d’Ivanti Connect Secure, une solution de VPN SSL très répandue dans les entreprises et les administrations. D’après la fiche du catalogue, elles peuvent être combinées entre elles et avec une troisième vulnérabilité, CVE-2026-104935.
La première, CVE-2026-111357, permet à un attaquant déjà connecté localement d’élever ses privilèges, faute d’authentification sur une fonction critique. La seconde, CVE-2026-118527, repose sur des identifiants prévisibles : elle permet à un attaquant authentifié à distance de déposer des fichiers dont il contrôle le contenu à un emplacement connu du disque.
Des délais très courts
Les échéances fixées par la CISA disent l’urgence. Pour CVE-2026-111357, la date limite tombe le 2 novembre, et l’agence exige en plus un examen forensique, c’est-à-dire la recherche de traces d’une compromission déjà réalisée. Pour CVE-2026-118527, le délai court jusqu’au 13 novembre. La CISA avait déjà appelé à corriger une autre faille exploitée de Connect Secure le 13 octobre.
Pourquoi les VPN d’entreprise sont-ils autant visés ? #
Une passerelle VPN est la porte d’entrée du réseau de l’entreprise. Elle est accessible depuis Internet pour que les salariés puissent se connecter de n’importe où, et elle gère l’authentification de tous les utilisateurs. Une faille à ce niveau permet soit de couper l’accès à distance de toute une société, soit de s’introduire dans son système d’information.
À lire VPN Tunisie : Comment Naviguer en Toute Sécurité
Ces équipements sont aussi plus difficiles à surveiller qu’un ordinateur classique. On n’y installe généralement pas d’antivirus, et leurs mises à jour imposent souvent une coupure de service que les équipes repoussent. C’est précisément ce délai que les attaquants exploitent.
Et pour les utilisateurs de VPN grand public ? #
Ces failles ne concernent pas les applications VPN grand public que l’on installe sur son téléphone ou son ordinateur pour protéger sa connexion ou changer de pays. Elles visent des équipements installés dans les entreprises, administrés par leurs services informatiques.
Si vous vous connectez au réseau de votre employeur avec un client Cisco ou Ivanti, vous n’avez rien à faire de votre côté : la correction se fait sur la passerelle. En revanche, une coupure soudaine du VPN professionnel ou une demande inhabituelle de réinitialisation de mot de passe mérite d’être signalée à votre service informatique.
Questions fréquentes #
Mon VPN personnel est-il concerné ?
Non. Les failles signalées par la CISA touchent des passerelles VPN d’entreprise, Cisco Secure Firewall ASA et FTD et Ivanti Connect Secure, pas les applications VPN grand public.
À lire Utiliser un VPN avec Steam : Avantages et Précautions
Que fait la faille Cisco CVE-2026-76418 ?
Selon Cisco, elle permet à un attaquant non authentifié de faire redémarrer l’équipement à distance, ce qui coupe le service de VPN SSL. Son score de gravité est de 8,6 sur 10.
Qu’est-ce que le catalogue KEV de la CISA ?
C’est la liste des vulnérabilités dont l’exploitation réelle a été constatée, tenue par l’agence américaine de cybersécurité. Les agences fédérales doivent les corriger avant une date limite.
