7 min. de lecture<\/p>\n
Deux zero-days affectant Ivanti EPMM ont \u00e9t\u00e9 exploit\u00e9s en s\u00e9rie fin avril 2026 : 130 adresses IP uniques ont activement sond\u00e9 les vuln\u00e9rabilit\u00e9s dans les 24 heures suivant leur divulgation. Le BSI, la CISA et le NHS England ont publi\u00e9 des alertes simultan\u00e9es. Pour les op\u00e9rateurs KRITIS, les administrations et les organisations g\u00e9rant des environnements MDM de production sur base Ivanti, une intervention imm\u00e9diate s’impose.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n Qu’est-ce qu’Ivanti EPMM ?<\/strong> Ivanti Enterprise Mobility Management (EPMM) est une plateforme MDM sur site (on-premise) que les organisations utilisent de mani\u00e8re centralis\u00e9e pour g\u00e9rer, configurer et s\u00e9curiser les appareils mobiles. EPMM contr\u00f4le l’acc\u00e8s aux appareils, le d\u00e9ploiement des applications, les profils VPN et la distribution des certificats pour tous les smartphones, tablettes et ordinateurs portables connect\u00e9s d’une organisation.<\/p>\n \u00c0 lire aussi : CISA KEV avril 2026 : Samsung MagicINFO, SimpleHelp et D-Link sous exploitation active<\/a><\/p>\n CVE-2025-4427 est un Authentication Bypass dans l’API REST d’Ivanti EPMM. La vuln\u00e9rabilit\u00e9 permet aux attaquants d’appeler des points de terminaison API qui n\u00e9cessitent normalement une authentification – sans informations d’identification valides. Score CVSS de 9,8, class\u00e9 comme critique. Toutes les versions d’EPMM ant\u00e9rieures au patch du 30 avril 2026 sont affect\u00e9es.<\/p>\n CVE-2025-4428 est une vuln\u00e9rabilit\u00e9 d’ex\u00e9cution de code distant qui peut \u00eatre exploit\u00e9e via l’API REST. \u00c0 elle seule, elle a un impact limit\u00e9 – mais en combinaison avec CVE-2025-4427, la cha\u00eene d’attaque est compl\u00e8te : contournement de l’authentification, puis RCE sur le serveur EPMM. La combinaison permet une ex\u00e9cution de code non authentifi\u00e9e sur le serveur MDM sans interaction utilisateur.<\/p>\n Ce qui rend la situation particuli\u00e8rement dangereuse : Ivanti a publi\u00e9 les correctifs le 30 avril. Le code d’exploitation \u00e9tait disponible publiquement<\/a> dans les heures suivant la divulgation, selon la Shadowserver Foundation. 130 adresses IP uniques ont tent\u00e9 d’exploiter activement – dans les premi\u00e8res 24 heures apr\u00e8s la divulgation.<\/p>\n Cha\u00eene d’attaque en trois \u00e9tapes<\/p>\n \u00c9tape 1<\/p>\n Contournement de l’authentification via CVE-2025-4427 – aucun compte requis<\/p>\n<\/div>\n \u00c9tape 2<\/p>\n RCE via CVE-2025-4428 sur l’API REST en tant qu’utilisateur authentifi\u00e9<\/p>\n<\/div>\n \u00c9tape 3<\/p>\n Acc\u00e8s complet au serveur MDM – tous les appareils g\u00e9r\u00e9s accessibles<\/p>\n<\/div>\n<\/div>\n<\/div>\n Ce n’est pas le premier incident critique d’Ivanti. D\u00e9j\u00e0 en 2024, Ivanti Connect Secure et Policy Secure avaient \u00e9t\u00e9 massivement affect\u00e9s – plusieurs zero-days avaient \u00e9t\u00e9 activement exploit\u00e9s avant que des correctifs ne soient disponibles. La CISA am\u00e9ricaine avait d\u00fb \u00e9mettre une directive d’urgence et avait exig\u00e9 que les agences f\u00e9d\u00e9rales d\u00e9connectent imm\u00e9diatement les syst\u00e8mes du r\u00e9seau.<\/p>\n Avec EPMM 2026, le sch\u00e9ma se r\u00e9p\u00e8te – avec une diff\u00e9rence cruciale : la vitesse d’exploitation s’est acc\u00e9l\u00e9r\u00e9e. 24 heures entre la divulgation et 130 adresses IP d’attaquants document\u00e9es est exceptionnellement rapide et sugg\u00e8re des kits d’exploitation pr\u00e9par\u00e9s ou des acteurs de menaces coordonn\u00e9s. Le catalogue KEV de la CISA<\/a> a imm\u00e9diatement inclus les deux CVE.<\/p>\n Le BSI a explicitement soulign\u00e9 dans son avertissement 2026-221601-1032 la pertinence pour les op\u00e9rateurs KRITIS allemands. L’avertissement est consid\u00e9r\u00e9 comme une alerte prioritaire de niveau 1 et ne se limite pas \u00e0 une simple redirection de la recommandation de la CISA – un signe que le BSI dispose de ses propres informations sur les syst\u00e8mes allemands potentiellement affect\u00e9s.<\/p>\n Ivanti EPMM est largement utilis\u00e9 en Allemagne comme solution de gestion des appareils mobiles pour les autorit\u00e9s, les \u00e9tablissements de sant\u00e9 et les op\u00e9rateurs KRITIS. Un serveur MDM compromis n’est pas un probl\u00e8me isol\u00e9 – c’est le syst\u00e8me de contr\u00f4le central pour tous les appareils mobiles g\u00e9r\u00e9s d’une organisation.<\/p>\n Ce que les attaquants peuvent accomplir avec un acc\u00e8s au serveur MDM : pousser des profils de configuration pour les appareils (VPN, e-mail, certificats), g\u00e9rer les applications sur tous les appareils, supprimer ou verrouiller les appareils \u00e0 distance, extraire les informations d’acc\u00e8s au r\u00e9seau configur\u00e9es sur les appareils. Pour les op\u00e9rateurs KRITIS, cela signifie : un serveur MDM compromis est un acc\u00e8s \u00e0 tous les appareils g\u00e9r\u00e9s – et potentiellement au r\u00e9seau derri\u00e8re.<\/p>\n\n
Les vuln\u00e9rabilit\u00e9s en d\u00e9tail : Authentication Bypass et RCE<\/h2>\n
Ivanti EPMM, un r\u00e9cidiviste : l’historique des vuln\u00e9rabilit\u00e9s<\/h2>\n
Pertinence KRITIS : pourquoi l’infrastructure MDM est critique<\/h2>\n