Palo Alto Networks a confirmé que des attaquants ont combiné des vulnérabilités PHP2Shell à une faille du noyau Linux pour obtenir un accès root, c’est-à-dire le niveau de contrôle le plus élevé sur le système, sur ses pare-feu, SecurityWeek rapporte. Les administrateurs dont les interfaces de gestion sont exposées à Internet doivent immédiatement restreindre l’accès et installer les correctifs du fournisseur.
Les produits concernés comprennent les pare-feu PA-Series et VM-Series ainsi que les appliances de gestion Panorama, y compris les déploiements virtuels et M-Series. Les correctifs couvrent PAN-OS 12.2, 12.1, 11.2, 11.1 et 10.2. Palo Alto Networks indique que les interfaces de gestion ne sont pas exposées à Internet par défaut, mais l’exploitation active a visé les interfaces exposées, et aucune configuration particulière n’est requise pour que les vulnérabilités s’appliquent.
SecurityWeek rapporte que Dream a identifié au moins 25 pare-feu compromis parmi quelques centaines et a relié la campagne à un groupe de pirates lié à la Chine. Palo Alto Networks affirme que son équipe Unit 42 a vérifié de manière indépendante les outils de l’attaquant et confirmé les résultats de Dream. La société indique qu’environ 0,02 % de son parc installé dans le monde disposait d’interfaces de gestion exposées à Internet et a été touché ; ses équipes ont contacté ces clients individuellement.
L’attaque combine les CVE-2026-109618 et CVE-2026-109619, appelées collectivement PHP2Shell, avec Fragnesia, une vulnérabilité du noyau Linux qui permet aux attaquants d’élever leurs privilèges. Les failles PHP permettent une exécution de code à distance en raison d’une mauvaise gestion de la mémoire lors du traitement des erreurs. Dans cette campagne, la chaîne a permis aux attaquants d’installer des webshells (scripts offrant un accès à distance) avec des privilèges root.
Les tentatives d’exploitation à plus grande échelle ont donné des résultats mitigés. SecurityWeek rapporte que Defiant, une société spécialisée dans la sécurité WordPress, a enregistré plus de 77 000 requêtes associées provenant de plus de 2 000 adresses IP, mais qu’au 28 octobre, elle ne connaissait aucun site WordPress compromis via PHP2Shell. Les tests de Defiant ont montré que les exploits nécessitent souvent des ajustements selon la version de PHP, les limites de mémoire, les extensions et la gestion des requêtes de la cible. Elle a exhorté les exploitants de sites à mettre à jour PHP, car une exploitation réussie pourrait exposer des fichiers, des bases de données et des mots de passe.
Le bulletin de sécurité de Palo Alto Networks, publié le 21 octobre et mis à jour le 29 octobre, indique les versions cibles suivantes pour chaque branche de version :
- PAN-OS 12.2 : 12.2.4-h1 ou ultérieure.
- PAN-OS 12.1 : 12.1.10-h3 ou ultérieure.
- PAN-OS 11.2 : 11.2.16-h1 ou ultérieure.
- PAN-OS 11.1 : 11.1.16-h4 ou ultérieure.
- PAN-OS 10.2 : 10.2.18-h13 ou ultérieure.
Le bulletin mentionne aussi des correctifs pour les branches de maintenance antérieures. Les hotfixes publiés corrigent les deux vulnérabilités PHP. Les administrateurs doivent appliquer la mise à jour appropriée et, en suivant les recommandations du fournisseur, restreindre l’accès aux interfaces de gestion aux adresses IP internes de confiance.
