Les attaques PHP2Shell prennent une nouvelle ampleur. En associant les deux failles critiques de PHP à une vulnérabilité du noyau Linux, des pirates auraient compromis 25 systèmes Palo Alto Networks, dont trois dans un environnement lié au gouvernement américain.
Les premières exploitations réussies de PHP2Shell avaient déjà prouvé que des attaquants pouvaient exécuter des commandes à distance sur des serveurs vulnérables, mais la campagne découverte par Dream Research révèle une offensive autrement plus élaborée. Cette fois, les pirates ont combiné les deux failles PHP à Fragnesia, une vulnérabilité du noyau Linux divulguée au printemps dernier, pour prendre le contrôle de pare-feu Palo Alto Networks dont les interfaces d'administration étaient accessibles depuis Internet. Une opération qui leur aurait permis de s'introduire jusque dans le réseau interne d'une organisation liée au gouvernement américain.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
De PHP2Shell aux privilèges root, trois failles pour prendre le contrôle des serveurs
Pour rappel, les deux vulnérabilités PHP2Shell, référencées CVE-2026-109618 et CVE-2026-109619, permettent à un attaquant non authentifié d'exécuter du code à distance sur un serveur PHP vulnérable. Ces commandes s'exécutent toutefois avec les droits limités du serveur web, qui ne peut normalement pas modifier les fichiers système les plus sensibles. Pour contourner cette restriction, les pirates à l'origine de la campagne retracée par Dream Research ont exploité une troisième vulnérabilité, CVE-2026-46300, surnommée Fragnesia.
Évaluée à 7,8 sur l'échelle CVSS, Fragnesia appartient à la même famille que Dirty Frag. Elle touche le sous-système XFRM ESP-in-TCP du noyau Linux, qui permet de transporter des paquets IPsec chiffrés à travers des connexions TCP. Pour déchiffrer ces paquets, Linux manipule des fragments de données en mémoire, parfois partagés avec le cache de fichiers du système. Le noyau doit alors en créer une copie avant de les modifier afin de préserver les données d'origine, étape que Fragnesia permet de faire sauter pour altérer directement, en mémoire, le contenu de fichiers normalement protégés contre l'écriture.
Les chercheurs ont retrouvé les outils et les journaux d'une attaque conçue sur mesure pour compromettre des pare-feu Palo Alto Networks exécutant des versions vulnérables de PAN-OS 12.1 et 12.2. Sans avoir à fournir d'identifiants de connexion, les pirates ont pu prendre pied sur ces équipements grâce à PHP2Shell, puis exploiter Fragnesia pour modifier les règles d'authentification de Linux et accéder au compte root sans mot de passe. Ils ont ensuite installé un webshell PHP, se réservant ainsi la possibilité de revenir ultérieurement. Le tout en moins de quinze minutes, d'après les éléments recueillis.
Des milliers de pare-feu ciblés, vingt-cinq systèmes compromis
Pour trouver des équipements à attaquer, les pirates ont utilisé FOFA, un moteur de recherche permettant de repérer les appareils accessibles depuis Internet. Ils ont ainsi recensé quelque 19 000 pare-feu du fournisseur ciblé, puis identifié les versions logicielles d'environ 5 000 d'entre eux. Après avoir écarté les équipements incompatibles avec leurs exploits et limité leurs recherches aux États-Unis, au Japon, à Taïwan et à la Corée du Sud, ils ont constitué une liste de 240 cibles.
Les attaques automatisées, menées les 23 et 24 octobre, auraient permis de compromettre 24 pare-feu. Sur 22 d'entre eux, les pirates se seraient contentés d'installer une backdoor. Sur les deux autres, appartenant à une même organisation liée au gouvernement américain, ils ont cherché à pénétrer plus loin dans l'infrastructure. Le premier a cessé de répondre peu après sa compromission, mais les pirates ont utilisé le second pour établir un tunnel SSH vers le réseau interne, puis prendre le contrôle du serveur central de gestion des pare-feu.
Cette nouvelle intrusion aurait porté à 25 le nombre total de machines compromises, dont trois dans cet environnement américain. Depuis le serveur d'administration, les attaquants ont récupéré les configurations des pare-feu, dont ils ont extrait plusieurs clés privées, notamment celles associées aux certificats TLS et à l'authentification des équipements, et déchiffré le mot de passe d'un compte de service LDAP utilisé pour communiquer avec Active Directory. Grâce à ce compte, ils ont pu recenser les utilisateurs et les groupes du domaine, avant de tenter de découvrir d'autres mots de passe et de créer des comptes clandestins.
Dream Research soupçonne une opération liée à la Chine, sans pouvoir l'attribuer à un groupe identifié. Palo Alto Networks a depuis vérifié les outils utilisés par les pirates et confirmé les résultats de l'enquête. Son équipe Unit 42 suit cette activité sous la référence provisoire CL-UNK-1280 et évoque un attaquant sinophone dont les horaires d'activité correspondent au fuseau UTC+8. Le 28 octobre, la CISA a confirmé l'exploitation active de Fragnesia en l'ajoutant à son catalogue des vulnérabilités exploitées.
Les correctifs du noyau Linux existent depuis mai, et ceux de PHP2Shell depuis le 21 octobre. Palo Alto Networks déploie également des mises à jour pour les versions vulnérables de PAN-OS et recommande de supprimer tout accès public aux interfaces d'administration, en réservant leur utilisation aux adresses IP internes autorisées. Sur les équipements déjà compromis, les administrateurs devront aussi rechercher les accès laissés par les pirates.
