Skip to content
Hacker Posts

PHP2Shell chaîné à Fragnesia : 25 firewalls « rootés »

Dream rapporte une chaîne PHP2Shell + Fragnesia (CVE-2026-46300) ayant compromis 25 serveurs, dont trois liés au gouvernement US. Attribution China-nexus prudente, non vérifiée.

Publié le 3 min de lecture
cvefirewallthreat-intelfragnesia

La société de sécurité Dream rapporte une chaîne d'exploitation combinant PHP2Shell et la faille noyau Linux Fragnesia (CVE-2026-46300) pour obtenir les droits root sur 25 serveurs aux États-Unis, au Japon, à Taïwan et en Corée du Sud — dont trois dans un environnement affilié au gouvernement américain. Si vous exposez l'interface d'administration d'un équipement réseau embarquant PHP, c'est le scénario à traiter en priorité. L'analyse est relayée côté FR par Silicon.fr et confirmée dans ses grandes lignes par The Hacker News.

La chaîne, étape par étape

  • Entrée — PHP2Shell (CVE-2026-109618 et CVE-2026-109619, 9.2) : RCE non authentifiée dans le moteur PHP. Selon Dream, l'attaquant vise PHP 8.0.30 sur le serveur de gestion appweb du firewall et prépare la mémoire via un flood de requêtes multipart POST (~383 Mo).
  • Élévation — Fragnesia (CVE-2026-46300, 7.8) : faille locale d'élévation de privilèges du noyau Linux, qui permet d'écrire dans le page cache et de passer root, puis de déposer un webshell dans un répertoire accessible publiquement.
  • Vitesse : Dream estime la chaîne complète — de la connexion HTTPS non authentifiée au webshell root persistant — à moins de 15 minutes.

Après la compromission

Dream décrit une énumération LDAP des comptes et groupes du domaine, du password spraying, une tentative de création de compte Active Directory en porte dérobée et une extraction de clé de signature SAML. L'éditeur indique ne pas savoir si ces deux dernières actions ont réussi.

Statut d'exploitation et prudence

CISA a inscrit CVE-2026-46300 au catalogue KEV le 28 octobre en citant précisément ce chaînage avec PHP2Shell ; les deux CVE PHP2Shell y figurent déjà. Nous avions couvert la faille Fragnesia côté noyau et PHP2Shell sur NetScaler.

Quelques réserves, parce que le terrain de la menace avancée est bruyant :

  • Source unique pour la campagne. Le détail de la chaîne vient du rapport Dream ; CISA n'a pas publié les mécanismes de l'attaque. Les constats n'ont pas été vérifiés indépendamment.
  • Éditeur du firewall non tranché. Silicon.fr ne nomme pas la marque ; d'autres reporting évoquent PAN-OS, mais de précédentes affirmations de compromission (Sophos, Palo Alto) avaient été corrigées ou retirées. Nous ne nommons pas le produit tant que ce n'est pas établi.
  • Attribution prudente. Dream parle d'une opération « soupçonnée China-nexus » et « assistée par IA », sans nommer de groupe. Nous gardons la nuance.

Que faire

  1. Sortez les interfaces d'administration des firewalls d'Internet — derrière VPN ou jump host. C'est la mesure qui casse l'étape d'entrée de la chaîne.
  2. Appliquez les correctifs des trois CVE : PHP2Shell (CVE-2026-109618 / -109619) côté équipement, et le correctif noyau pour Fragnesia (CVE-2026-46300) sur les hôtes Linux.
  3. Chassez les webshells sur les serveurs de gestion joignables et tout hôte Linux atteignable depuis une appliance compromise.
  4. Côté annuaire : surveillez l'énumération LDAP, le password spraying, la création de comptes AD inattendus et toute extraction de clé SAML. En cas de doute, rotation des secrets et des clés de signature.

Pour mettre en perspective

C'est la suite logique de PHP2Shell : une RCE dans l'interpréteur PHP ne reste pas sur les serveurs web, elle ressort partout où PHP est embarqué — ici l'interface d'admin d'un équipement de bordure. Et le schéma gagnant reste le même : une RCE non authentifiée en bordure pour entrer, une élévation locale pour devenir root. On patche les deux bouts de la chaîne, pas seulement celui qui fait le plus peur.

Articles liés