Le Nationaal Cyber Security Centrum (NCSC) alerte sur un actif misusage Ivanti Endpoint Manager Mobile, aussi connu sous le nom MobileIron. Selon le NCSC, des vulnérabilités sérieuses ont été identifiées et certaines sont déjà exploitées par des acteurs malveillants. La situation nécessite une réponse rapide de la part des organisations concernées.
Dans cet article, nous faisons le point sur ce produit, les failles mentionnées, les conséquences possibles et, surtout, ce que vous pouvez faire concrètement pour limiter les risques.
Qu’est-ce qu’Ivanti Endpoint Manager Mobile ?
Ivanti Endpoint Manager Mobile est un logiciel conçu pour gérer et sécuriser les appareils mobiles au sein d’un réseau. Il aide les entreprises à administrer des terminaux utilisés par les employés, comme des smartphones et des tablettes, tout en appliquant des mesures de contrôle et de protection.
Parce qu’il centralise la gestion des appareils, un outil de ce type devient une cible de choix : s’il est compromis, les attaquants peuvent chercher à atteindre des informations sensibles ou à perturber l’accès aux ressources internes.
Pourquoi le NCSC parle d’un risque élevé
Le NCSC estime que la probabilité d’abus et l’impact potentiel sont élevés. La raison principale tient à la possibilité, pour un attaquant, d’exécuter du code à distance avec des droits d’administration via la vulnérabilité la plus critique mentionnée dans l’alerte.
Autre point important : le NCSC indique qu’un Proof-of-Concept pourrait être publié à court terme. Si cela arrive, la technique d’exploitation deviendrait plus facilement réplicable, ce qui augmenterait fortement le risque d’exploitation à grande échelle. Dans ce contexte, différer l’installation des correctifs accroît la fenêtre d’exposition.
Les vulnérabilités citées dans l’alerte
Dans l’alerte du NCSC, cinq vulnérabilités sont évoquées, dont une jugée très critique. Voici ce que l’on sait à partir des informations fournies :
CVE-2026-6973 : exploitation active avec droits administrateur
La vulnérabilité CVE-2026-6973 est celle qui retient le plus l’attention. Le NCSC précise qu’un acteur malveillant disposant de droits d’administration peut exécuter du code à distance avec des droits administrateurs. D’après Ivanti, l’exploitation serait déjà observée chez un nombre très limité de clients.
CVE-2026-5786 : accès à distance via identifiants valides
Avec CVE-2026-5786, un attaquant disposant de comptes valides pourrait obtenir un accès de gestion à distance. Autrement dit, la compromission d’identifiants peut ouvrir la porte à des actions plus profondes sur le système.
CVE-2026-5787 : obtention de faux certificats
La vulnérabilité CVE-2026-5787 permettrait à un intrus de se faire passer pour un système de confiance. L’objectif mentionné est l’obtention de certificats frauduleux, ce qui peut servir à contourner certains contrôles de sécurité.
CVE-2026-5788 : exécution de code à distance
La CVE-2026-5788 autoriserait également une exécution de code à distance par un intrus. Cette capacité est particulièrement préoccupante car elle peut accélérer la progression d’un incident.
CVE-2026-7821 : enregistrement des appareils et accès aux données
Enfin, CVE-2026-7821 permettrait à un attaquant d’enregistrer des appareils et d’obtenir un accès à des données sensibles. Cela peut concerner des informations stockées ou gérées via la plateforme.
Quels impacts pour votre organisation ?
Si ces vulnérabilités ne sont pas corrigées, les attaquants pourraient tenter d’obtenir le contrôle des appareils mobiles et de voler ou modifier des informations. Concrètement, le NCSC souligne des risques comme :
- vol de données ou fuite d’informations (datalekken) ;
- atteinte à la confidentialité ;
- perturbation des processus de l’entreprise liés à l’usage des terminaux.
Comme un actif misusage Ivanti a déjà été constaté, le niveau d’urgence augmente : la probabilité d’impact devient plus importante, même si le nombre de victimes initiales semble limité.
Que faire dès maintenant ? Installer les mises à jour
Le NCSC recommande d’installer au plus vite les correctifs disponibles auprès d’Ivanti. C’est l’action la plus efficace pour réduire la surface d’attaque associée aux CVE décrites dans l’alerte.
En pratique, commencez par vérifier :
- si vous utilisez Ivanti Endpoint Manager Mobile (ou MobileIron) ;
- la version déployée ;
- où le composant est hébergé (environnement interne, connecteurs, interfaces d’administration).
Si vous n’êtes pas certain de la présence de ce logiciel ou de votre version, faites appel à votre prestataire IT ou à votre équipe sécurité. L’objectif est d’identifier rapidement le périmètre exact et d’appliquer les mises à jour pertinentes.
Si vous gérez un parc mobile : renforcer le contrôle
Au-delà de l’installation des correctifs, profitez de l’alerte pour renforcer la posture de sécurité autour de la gestion des mobiles. Même si le NCSC se concentre sur les mises à jour, une démarche de réduction du risque peut inclure :
- Contrôle des accès : limiter les comptes ayant des droits d’administration et appliquer le principe du moindre privilège.
- Surveillance : rechercher des signes d’accès anormal à distance ou d’activités de gestion suspectes.
- Hygiène des identifiants : protéger les comptes, renforcer la gestion des mots de passe et surveiller les connexions inhabituelles.
- Vérification des certificats : si votre déploiement repose sur des chaînes de confiance, vérifier qu’il n’y a pas d’éléments anormaux.
Ces mesures ne remplacent pas les correctifs, mais elles peuvent limiter les dommages si un incident a déjà débuté.
Préparer votre équipe : qui contacter et quoi demander
Le NCSC conseille de solliciter votre IT-dienstverlener (prestataire IT) si vous n’êtes pas sûr de votre configuration. Pour gagner du temps, vous pouvez demander des réponses claires, telles que :
- Quelle version d’Ivanti Endpoint Manager Mobile est en production ?
- Quels correctifs sont disponibles et lesquels s’appliquent à votre version ?
- Quel est le calendrier de déploiement (et le plan de rollback si nécessaire) ?
- Quelles vérifications post-déploiement seront effectuées ?
En parallèle, impliquez votre responsable sécurité et assurez-vous que la mise à jour soit traitée comme une priorité, compte tenu du caractère déjà observé de l’exploitation.
Conclusion
Le actif misusage Ivanti signalé par le NCSC met en évidence une menace concrète autour d’Ivanti Endpoint Manager Mobile. Les vulnérabilités décrites, dont CVE-2026-6973 et plusieurs autres, peuvent permettre des actions à distance, l’accès à des fonctions d’administration et, dans certains cas, une compromission de données sensibles.
La recommandation centrale reste simple : installez rapidement les mises à jour de sécurité fournies par Ivanti. Ensuite, consolidez le contrôle des accès et la surveillance afin de réduire encore l’exposition. En agissant vite, vous diminuez fortement la probabilité qu’un incident se transforme en dommage durable.
Source: https://www.ncsc.nl/alerts/actief-misbruik-ivanti-endpoint-manager-mobile
