Corrigée en mai, une faille de Linux aide encore des pirates à s'emparer de pare-feu

Une seule requête web, moins d'un quart d'heure, et le pare-feu appartient aux pirates. C'est ce que décrit la société Dream Security, qui a retrouvé le 25 octobre les outils d'une campagne menée entre le 8 et le 24 octobre. Les attaquants enchaînaient deux failles : PHP2Shell, la faille critique du langage PHP exploitée depuis quelques jours, et Fragnesia, une faille du noyau Linux connue depuis le mois de mai.

Le 28 octobre, l'agence américaine de cybersécurité (CISA) a ajouté Fragnesia (CVE-2026-46300) à son catalogue des failles activement exploitées. Selon BleepingComputer, la CISA précise qu'elle peut être combinée avec PHP2Shell pour installer des portes d'entrée (« webshells ») et exécuter des commandes avec les droits les plus élevés, ceux de l'utilisateur root. L'agence n'a pas donné d'autre détail sur ces attaques.

Pourquoi deux failles valent mieux qu'une pour les pirates

Seule, la faille de PHP ne suffisait pas. D'après Dream Security, PHP2Shell donnait accès au serveur web d'administration des pare-feu visés, mais avec un compte sans privilèges (« nobody »). Le module de sécurité SELinux empêchait ce compte de modifier les fichiers du système. Fragnesia a levé l'obstacle : les pirates s'en sont servis pour réécrire la configuration de la commande su, qui permettait alors de devenir root sans mot de passe.

Comme lors des premières alertes sur PHP2Shell, l'ampleur interroge. Selon Dream Security, environ 19 000 pare-feu exposés sur Internet avaient été repérés, 240 sélectionnés, et 24 pris en main lors de la phase automatisée. Un 25^e serveur, celui qui gérait les pare-feu en interne, a été atteint ensuite depuis l'équipement d'une organisation liée au gouvernement américain. Les victimes se trouvent aux États-Unis, au Japon, à Taïwan et en Corée du Sud.

Qui est derrière ? Dream Security ne nomme personne. L'entreprise relève des indices qui pointent vers la Chine : les outils de repérage et de tunnel utilisés, les fuseaux horaires, des instructions en chinois dans les journaux de session et un outil configuré avec les IA DeepSeek et Kimi. Claude Code était aussi installé sur l'infrastructure, mais Dream n'a aucune preuve directe qu'il ait écrit le code d'attaque. Le fabricant des pare-feu n'a pas été divulgué.

Une faille du noyau Linux publique depuis cinq mois

Fragnesia a été révélée le 13 mai 2026 par le chercheur William Bowling (V12 Security), avec un code de démonstration et un correctif. Elle permet à n'importe quel utilisateur local de devenir administrateur, sans condition particulière, sur la plupart des distributions où les « espaces de noms » sont activés par défaut. Tenable lui attribue une note estimée de 7,8 sur 10. Elle est d'autant plus dangereuse qu'un pirate entré par une faille web, comme PHP2Shell, se retrouve justement dans la peau de cet utilisateur local.

Que faire ?

L'attaque n'a rien de nouveau : les deux failles avaient déjà un correctif. Elle exploite simplement les serveurs mis à jour en retard.

• Mettez à jour le noyau en suivant l'avis de votre distribution. AlmaLinux, Fedora et Ubuntu publient des noyaux corrigés. Selon Tenable, Amazon Linux n'est pas concerné.
• Attention : selon Tenable, les correctifs du noyau contre la famille de failles voisine « Dirty Frag » ne protègent pas contre Fragnesia. En revanche, selon Tenable et Ubuntu, le blocage des modules recommandé contre Dirty Frag protège aussi contre Fragnesia.
• Si vous ne pouvez pas redémarrer : Tenable indique comment décharger et bloquer les modules esp4, esp6 et rxrpc. Cela peut couper les VPN IPsec qui en dépendent.
• Corrigez PHP et sortez les interfaces d'administration des pare-feu d'Internet.
• Cherchez des traces : webshells, tunnels persistants, changements dans l'annuaire Active Directory. Dream Security recommande de considérer qu'un pare-feu compromis peut avoir ouvert l'accès aux comptes de l'entreprise.

Reste une question : quels pare-feu étaient visés ? Tant que le fabricant ne s'est pas exprimé, ses clients ne peuvent pas savoir s'ils font partie des cibles.

Mise à jour du 13 novembre 2026

Le fabricant des pare-feu visés par la campagne décrite par Dream Security est connu : il s'agit de Palo Alto Networks. Le 29 octobre, Unit 42, l'équipe de renseignement sur les menaces de l'éditeur, a indiqué que les failles PHP2Shell étaient activement exploitées contre les interfaces d'administration de PAN-OS, le système de ses pare-feu, lorsqu'elles sont exposées sur Internet. Unit 42 dit avoir vérifié de façon indépendante les outils de l'attaquant et confirmé les résultats publiés par Dream, dont l'enchaînement avec une faille d'élévation de privilèges du noyau Linux.

Selon Unit 42, environ 0,02 % des équipements Palo Alto installés dans le monde ont été touchés. D'après The Register, les attaquants visaient les versions 12.1 et 12.2 de PAN-OS. Palo Alto renvoie à son avis de sécurité pour la liste des versions vulnérables et corrigées. Il assure que les clients qui ont appliqué ses correctifs contre PHP2Shell ne sont pas concernés.

Dream a aussi relevé des outils d'intelligence artificielle dans l'infrastructure de l'attaquant : Claude Code, d'Anthropic, y avait été installé, ainsi qu'une plateforme offensive appelée aiscan, configurée avec les modèles chinois DeepSeek et Kimi. Selon Dream, l'opération ne semble pas avoir été entièrement autonome, et rien ne prouve directement que ces outils ont servi à écrire l'exploit ou les scripts.