if ( !emtpy($headline_subheadline ) ) : ?>
Les chercheurs affirment que les attaquants ont combiné PHP RCE avec une faille du noyau Linux pour rooter les pare-feu vulnérables, établir la persistance et extraire les informations d’identification, les clés privées et la topologie complète du réseau.
endif; ?>
La saga PHP2Shell se poursuit, les attaquants découvrant de nouvelles façons d’exploiter la vulnérabilité critique qui touche des millions d’organisations dans le monde.
L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a mis en garde contre une faille d’élévation de privilèges du noyau Linux de grande gravité que les attaquants enchaînent avec des bogues PHP2Shell dans la nature.
Identifié sous le nom CVE-2026-46300, il pourrait permettre aux attaquants d’exécuter du code malveillant avec les autorisations root, leur donnant ainsi la possibilité sans restriction d’exécuter des commandes, de falsifier les paramètres du système, d’afficher, de modifier ou de supprimer des fichiers et d’effectuer d’autres actions malveillantes.
Une fois que les attaquants ont établi l’accès root, ils peuvent effectuer n’importe quelle action sur un serveur, y compris, mais sans s’y limiter, désactiver le serveur, créer des comptes, supprimer des comptes, se connecter à d’autres serveurs et ajouter/supprimer des logiciels, a expliqué Scott Miserendino, CTO de la plateforme de sécurité et de conformité DataBee.
« PHP2Shell permet un accès à distance, mais cet accès est généralement limité par le compte utilisé pour exécuter le service PHP », a-t-il déclaré. « En s’enchaînant avec CVE-2026-46300, cet attaquant peut obtenir un accès illimité. »
Les chercheurs de Dream Security ont découvert que cette attaque avait déjà été utilisée pour pirater 25 serveurs, dont trois affiliés au gouvernement américain.
Les agences fédérales ont reçu l’ordre de corriger la faille, connue sous le nom de Fragnesia.
Anatomie d’une attaque
PHP est un langage de script côté serveur open source largement utilisé qui sert d’épine dorsale à des sites Web comme WordPress, qui alimente 43 % du Web, ainsi qu’à Mailchimp, Drupal, certaines parties de Slack et Zoom, et bien d’autres.
La semaine dernière, la Fondation PHP a révélé deux failles dans le langage de script PHP qui pourraient permettre à des attaquants d’effectuer une exécution de code à distance (RCE) non authentifié. CVE-2026-109618 et CVE-2026-109619 ont tous deux une gravité critique de 9,2 sur le système commun de vulnérabilité et de notation (CVSS). Les deux vulnérabilités sont collectivement suivies sous PHP2Shell. À la suite de cette divulgation, certains sites Web gouvernementaux et d’entreprises ont été complètement fermés en attendant des correctifs.
CVE-2026-46300, baptisé Fragnesia, est un nouveau développement dans la saga. Il est identifié comme faisant partie de la classe de vulnérabilité Dirty Frag, un ensemble de bogues d’élévation de privilèges locaux (LPE) dans le noyau Linux.
Les chercheurs de Dream ont décrit une attaque qu’ils ont suivie dans la nature, dans laquelle des acteurs malveillants ont construit un tunnel persistant dans un réseau interne « en quelques heures ». Ils ont développé deux exploits distincts, les regroupant pour cibler n’importe quel pare-feu du réseau Palo Alto exécutant une version vulnérable de PAN-OS, et ont obtenu un accès root via une seule requête HTTP sans aucune information d’identification.
Après avoir rooté les pare-feu, l’acteur malveillant a lancé des attaques contre Active Directory (AD), leur donnant la possibilité d’extraire des informations d’identification et de découvrir des fichiers, dossiers et autres ressources sensibles cachés, selon les chercheurs de Dream. Les chercheurs ont confirmé que l’auteur de la menace possédait alors une liste complète des groupes d’utilisateurs AD et un « plan organisationnel complet », des clés privées et une topologie de réseau complète, y compris l’adresse IP, le nom d’hôte, le rôle du serveur et la passerelle VPN, et avait accédé à tout moment aux informations d’identification du compte de service décryptées permettant des requêtes AD directes.
L’acteur accusateur a également stationné près de deux douzaines de pare-feu aux États-Unis, au Japon, à Taiwan et en Corée du Sud, « prêts à être exploités à tout moment ». Les chercheurs de Dream ont noté que la violation ne semblait pas être une attaque entièrement autonome d’un État-nation, mais incluait des outils assistés par l’IA comme Claude Code et des plates-formes de sécurité offensives alimentées par l’IA configurées avec les grands modèles linguistiques chinois (LLM) DeepSeek et Kimi.
« L’opération illustre comment une interface de gestion exposée peut devenir un chemin d’accès à l’infrastructure d’identité d’une organisation », ont écrit les chercheurs de Dream.
Beaucoup de matériel avec lequel les attaquants peuvent travailler
Les deux bugs PHP ont donné à un attaquant des privilèges d’exécution de code en utilisant le compte de service Web, et le bug du noyau est ce qui a transformé cela en racine, a expliqué Aaron Beardslee, responsable de la recherche sur les menaces chez Securonix, qui a noté : « Le bug du noyau écrit sa charge utile dans le cache des pages plutôt que sur le disque. »
Une fois qu’un attaquant a la capacité d’exécuter du code, les dégâts qu’il peut causer dépendent des autorisations et des informations d’identification disponibles pour ce processus, a-t-il expliqué. Les fichiers de configuration des applications, les informations d’identification de la base de données et l’accès aux services internes peuvent fournir « de nombreux éléments avec lesquels un attaquant peut travailler ». Ils peuvent également être capables d’exécuter des commandes, de récupérer des outils supplémentaires ou d’établir une persistance.
« Les serveurs Web ont la fâcheuse habitude d’en savoir plus sur le reste de l’environnement que prévu », a-t-il souligné.
La séquence post-accès de la chaîne, telle que décrite par les chercheurs, était la suivante : rooter l’hôte du périmètre, établir un tunnel Secure Shell (SSH) inversé vers un serveur de gestion interne, récupérer les informations d’identification d’un compte de service Lightweight Directory Access Protocol (LDAP), puis « énumérer les utilisateurs et les groupes du domaine, pulvériser les mots de passe et tenter de créer des comptes de porte dérobée dans Active Directory ».
PHP « retient une partie substantielle » d’Internet depuis des décennies, et ces vulnérabilités résident dans le runtime lui-même, a noté Beardslee. L’installation WordPress d’une entreprise peut être entièrement corrigée, les plugins peuvent être à jour, mais le processus PHP sous-jacent peut toujours être vulnérable à l’exécution de code non authentifié.
Le nombre de victimes signalées (25 serveurs jusqu’à présent, principalement des pare-feu, sur un réseau affilié au gouvernement) est la partie que tout le monde citera, mais ce n’est pas la partie intéressante, a-t-il déclaré. Les décomptes diffèrent et l’attribution est « ouvertement contestée ». Aucun d’entre eux n’est ce qui compte pour les défenseurs.
« Ce qui compte, c’est que l’étape d’élévation des privilèges dans cette chaîne soit invisible pour la vérification de l’intégrité du disque », a déclaré Beardslee, « et que les conseils de remédiation standard en détruisent la preuve. »
Assainissement
Malheureusement, CVE-2026-46300 est un bug de bas niveau du noyau Linux, le seul remède est donc de passer à une version Linux corrigée, a déclaré Miserendino de DataBee. Il existe certaines options qui ne permettent pas l’application de correctifs complets, mais celles-ci pourraient endommager le système ou, au minimum, nécessiter la désactivation de la charge utile de sécurité encapsulant IPSec (ESP). Mais cela peut introduire des défauts supplémentaires.
« Corrigez le noyau et capturez d’abord de la mémoire sur tout ce que vous soupçonnez », a recommandé Beardslee, notant que le correctif Fragnesia n’est pas inclus dans les correctifs Dirty Frag. « L’ordre de triage est ici plus important que d’habitude, car c’est le redémarrage qui efface les preuves. »
De plus, auditez les modules de noyau intégrés de base et , qui sont responsables de la gestion du protocole réseau IPsec ESP, sur chaque hôte Linux connecté à Internet, a-t-il conseillé. Si rien n’arrête IPsec, « les modules n’ont pas à être chargés » et leur déchargement supprime le chemin de vulnérabilité sans attendre une fenêtre de maintenance.
Et vérifiez quels hôtes détiennent un identifiant de service d’annuaire, puis alertez les liaisons LDAP de tout ce qui ne figure pas sur cette liste, a-t-il déclaré : « C’est le contrôle qui intercepte la chaîne au stade où elle cesse d’être un problème de serveur Web et commence à être un problème de domaine. De plus, a-t-il ajouté, il faut rediriger les détections d’identité vers « la source, et non l’outil ».
