// CLUBIC — CYBERSECURITY
PHP2Shell : en combinant les failles PHP à une faille root Linux, des pirates infiltrent un réseau lié au gouvernement américain
Les attaques PHP2Shell prennent une nouvelle ampleur. En associant les deux failles critiques de PHP à une vulnérabilité du noyau Linux, des pirates auraient compromis 25 systèmes Palo Alto Networks, dont trois dans un environnement lié au gouvernement américain.
Les premières exploitations réussies de PHP2Shell avaient déjà prouvé que des attaquants pouvaient exécuter des commandes à distance sur des serveurs vulnérables, mais la campagne découverte par Dream Research révèle une offensive autrement plus élaborée. Cette fois, les pirates ont combiné les deux failles PHP à Fragnesia, une vulnérabilité du noyau Linux divulguée au printemps dernier, pour prendre le contrôle de pare-feu Palo Alto Networks dont les interfaces d'administration étaient accessibles depuis Internet. Une opération qui leur aurait permis de s'introduire jusque dans le réseau interne d'une organisation liée au gouvernement américain.
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Pour rappel, les deux vulnérabilités PHP2Shell, référencées CVE-2026-109618 et CVE-2026-109619, permettent à un attaquant non authentifié d'exécuter du code à distance sur un serveur PHP vulnérable. Ces commandes s'exécutent toutefois avec les droits limités du serveur web, qui ne peut normalement pas modifier les fichiers système les plus sensibles. Pour contourner cette restriction, les pirates à l'origine de la campagne retracée par Dream Research ont exploité une troisième vulnérabilité, CVE-2026-46300, surnommée Fragnesia.
Évaluée à 7,8 sur l'échelle CVSS, Fragnesia appartient à la même famille que Dirty Frag. Elle touche le sous-système XFRM ESP-in-TCP du noyau Linux, qui permet de transporter des paquets IPsec chiffrés à travers des connexions TCP. Pour déchiffrer ces paquets, Linux manipule des fragments de données en mémoire, parfois partagés avec le cache de fichiers du système. Le noyau doit alors en créer une copie avant de les modifier afin de préserver les données d'origine, étape que Fragnesia permet de faire sauter pour altérer directement, en mémoire, le contenu de fichiers normalement protégés contre l'écriture.
Les chercheurs ont retrouvé les outils et les journaux d'une attaque conçue sur mesure pour compromettre des pare-feu Palo Alto Networks exécutant des versions vulnérables de PAN-OS 12.1 et 12.2. Sans avoir à fournir d'identifiants de connexion, les pirates ont pu prendre pied sur ces équipements grâce à PHP2Shell, puis exploiter Fragnesia pour modifier les règles d'authentification de Linux et accéder au compte root sans mot de passe. Ils ont ensuite installé un webshell PHP, se réservant ainsi la possibilité de revenir ultérieurement. Le tout en moins de quinze minutes, d'après les éléments recueillis.
Pour trouver des équipements à attaquer, les pirates ont utilisé FOFA, un moteur de recherche permettant de repérer les appareils accessibles depuis Internet. Ils ont ainsi recensé quelque 19 000 pare-feu du fournisseur ciblé, puis identifié les versions logicielles d'environ 5 000 d'entre eux. Après avoir écarté les équipements incompatibles avec leurs exploits et limité leurs recherches aux États-Unis, au Japon, à Taïwan et à la Corée du Sud, ils ont constitué une liste de 240 cibles.
Les attaques automatisées, menées les 23 et 24 octobre, auraient permis de compromettre 24 pare-feu. Sur 22 d'entre eux, les pirates se seraient contentés d'installer une backdoor. Sur les deux autres, appartenant à une même organisation liée au gouvernement américain, ils ont cherché à pénétrer plus loin dans l'infrastructure. Le premier a cessé de répondre peu après sa compromission, mais les pirates ont utilisé le second pour établir un tunnel SSH vers le réseau interne, puis prendre le contrôle du serveur central de gestion des pare-feu.
Cette nouvelle intrusion aurait porté à 25 le nombre total de machines compromises, dont trois dans cet environnement américain. D