PHP2Shell : comment une faille PHP et Linux a permis d’infiltrer un réseau gouvernemental américain ?

Une campagne d’attaques informatiques d’une envergure inédite a récemment été découverte, ciblant des systèmes informatiques critiques liés au gouvernement américain. Les hackers ont réussi à exploiter une combinaison de failles PHP et Linux pour compromettre plusieurs pare-feu de Palo Alto Networks, révélant ainsi des vulnérabilités préoccupantes dans les infrastructures numériques.

L’essentiel à retenir

• Les pirates ont utilisé les failles PHP2Shell et une vulnérabilité Linux nommée Fragnesia pour infiltrer des pare-feu de Palo Alto Networks.
• Les attaques ont ciblé 25 systèmes, dont trois dans un environnement lié au gouvernement américain.
• Des correctifs ont été publiés pour ces failles, mais la menace demeure pour les systèmes non mis à jour.

Imaginez un instant que vous êtes responsable de la sécurité informatique d’une institution de premier plan. Vous découvrez stupéfait qu’un groupe de hackers a exploité des vulnérabilités jusqu’ici méconnues pour prendre le contrôle de vos pare-feu, accédant ainsi à des données sensibles. C’est exactement ce qui s’est passé dans le cas de l’attaque PHP2Shell, une menace qui a mis en lumière des failles critiques dans les défenses numériques d’organisations majeures.

Comment PHP2Shell a permis l’exécution de commandes à distance

Les vulnérabilités PHP2Shell, référencées CVE-2026-109618 et CVE-2026-109619, ont démontré la capacité des hackers à exécuter des commandes à distance sur des serveurs PHP vulnérables. Bien que ces attaques soient initialement limitées par les droits restreints des serveurs web, les pirates ont trouvé une parade en exploitant une autre faille critique : Fragnesia.

Fragnesia : la brèche dans le noyau Linux

Fragnesia, référencée CVE-2026-46300, est une vulnérabilité dans le noyau Linux qui permet de manipuler des fragments de données en mémoire sans vérification. Elle appartient à la même famille que Dirty Frag et touche le sous-système XFRM ESP-in-TCP, utilisé pour transporter des paquets IPsec chiffrés. Cette faille a été exploitée pour altérer en mémoire le contenu de fichiers protégés, permettant ainsi aux pirates d’accéder à des privilèges plus élevés.

Compromission des pare-feu Palo Alto Networks

En utilisant PHP2Shell et Fragnesia, les attaquants ont ciblé des pare-feu exécutant PAN-OS 12.1 et 12.2. Sans nécessiter d’authentification, ils ont pu infiltrer ces systèmes, modifier les règles d’authentification de Linux et obtenir un accès root. Cette compromission leur a permis d’installer un webshell PHP, facilitant un retour ultérieur sur les systèmes compromis.

Une attaque bien orchestrée et ciblée

Les pirates ont utilisé le moteur de recherche FOFA pour identifier environ 19 000 pare-feu potentiellement vulnérables. En affinant leur recherche, ils ont ciblé 240 pare-feu, concentrant leurs efforts sur les États-Unis, le Japon, Taïwan et la Corée du Sud. Les attaques, principalement automatisées, ont permis de compromettre 24 appareils, dont deux appartenant à une organisation liée au gouvernement américain.

PHP2Shell : vers une réponse de la part des entreprises

Face à cette menace, Palo Alto Networks a publié des mises à jour pour corriger les failles exploitées. L’entreprise recommande également de limiter l’accès aux interfaces d’administration uniquement aux adresses IP internes autorisées, afin de renforcer la sécurité des systèmes.

La sécurité informatique : une course contre la montre pour les entreprises

Cette attaque met en lumière l’importance de la cybersécurité pour les entreprises, notamment celles manipulant des données sensibles. Les failles découvertes soulignent la nécessité d’une vigilance constante et d’une mise à jour régulière des systèmes pour prévenir de telles intrusions.

Les menaces cybernétiques évoluent constamment, et les entreprises doivent adapter leurs stratégies de sécurité en conséquence. Des acteurs comme Dream Research et des institutions comme la CISA jouent un rôle essentiel dans la détection et la prévention de ces menaces, mais la responsabilité incombe également aux organisations de maintenir une infrastructure sécurisée.

FAQ sur les vulnérabilités PHP2Shell et Fragnesia

Qu’est-ce que PHP2Shell ?

PHP2Shell est une combinaison de deux vulnérabilités critiques dans PHP qui permet à des attaquants de prendre le contrôle à distance de serveurs vulnérables.

Comment Fragnesia affecte-t-elle le noyau Linux ?

Fragnesia permet de manipuler des fragments de données en mémoire, affectant ainsi le sous-système XFRM ESP-in-TCP, ce qui peut mener à une altération non autorisée de fichiers protégés.

Quels correctifs ont été publiés pour ces vulnérabilités ?

Des correctifs pour Fragnesia sont disponibles depuis mai, tandis que ceux pour les vulnérabilités PHP2Shell ont été publiés le 21 octobre. Il est crucial de mettre à jour les systèmes pour prévenir de futures attaques.

Comment les entreprises peuvent-elles se protéger contre ces attaques ?

Les entreprises doivent s’assurer que leurs systèmes sont régulièrement mis à jour avec les derniers correctifs de sécurité, restreindre l’accès aux interfaces d’administration et surveiller en permanence leurs réseaux pour détecter toute activité suspecte.

Partagez cet article

Facebook (nouvel onglet)X (nouvel onglet)LinkedIn (nouvel onglet)WhatsApp (nouvel onglet)E-mailCopier le lien

[Nouveau] 4 ebooks sur le digital marketing à télécharger gratuitement

Cet article vous a plu ? Recevez nos prochains articles par mail

D’autres articles sur le même thème :