Un attaquant a obtenu un accès root à 25 serveurs exécutant le logiciel de pare-feu d’un fournisseur, dont trois dans un environnement affilié au gouvernement américain, selon les conclusions de la société de cybersécurité Dream rapportées par The Hacker News. L’opération a combiné des vulnérabilités PHP avec un exploit du noyau Linux, puis a utilisé un pare-feu compromis pour atteindre des systèmes internes et cibler Active Directory.
Le rapport du 28 octobre décrit une activité observée le 25 octobre 2026, des artefacts récupérés permettant de situer des compromissions distinctes les 23 et 24 octobre. Dream a indiqué avoir notifié le fournisseur du pare-feu, dont le nom n’a pas été divulgué dans le rapport.
L’attaque a associé PHP2Shell — CVE-2026-109618 et CVE-2026-109619, qui peuvent permettre une exécution de code à distance sans authentification — à Fragnesia, une vulnérabilité d’élévation de privilèges locale répertoriée sous la référence CVE-2026-46300. Cette dernière a permis à l’attaquant d’élever son accès jusqu’à root, lui donnant le contrôle administratif des systèmes affectés.
Selon Dream, l’implémentation de PHP2Shell récupérée était une version personnalisée et non publique, adaptée à la plateforme du pare-feu. Elle ciblait le mécanisme session.upload_progress de PHP sur le serveur de gestion appweb du pare-feu. Le logiciel ciblé utilisait PHP 8.0.30 avec une limite de mémoire élevée, ce qui permettait les étapes de corruption mémoire de l’exploit. Ces conditions comptent : les conclusions n’établissent pas que toutes les installations PHP exposées à Internet étaient vulnérables à cette implémentation.
Des pare-feu exposés aux comptes internes
La reconstitution de Dream décrit un processus de sélection qui a commencé par environ 19 000 pare-feu accessibles depuis Internet dont les interfaces de gestion étaient exposées. Un scanner personnalisé a obtenu des informations sur la version du système d’exploitation auprès d’environ 5 000 appareils. Le filtrage des systèmes situés aux États-Unis, au Japon, à Taïwan et en Corée du Sud, ainsi que des branches de version plus récentes exécutant PHP 8.0.30, a réduit la liste à 240 cibles.
Un exécuteur automatisé a ensuite exécuté la chaîne d’exploitation, installé des webshells PHP dans des répertoires accessibles publiquement et vérifié la présence d’un accès root. Dream a attribué 24 serveurs rootés à cette étape, une compromission interne ultérieure portant le total à 25.
Selon la reconstitution, un système affilié au gouvernement est tombé en panne peu après avoir été rooté le 23 octobre et n’est pas revenu en ligne. L’attaquant a utilisé un autre système compromis pour établir un tunnel SSH inverse — une connexion vers son infrastructure qui fournissait une route persistante vers le réseau interne. Un troisième serveur affilié au gouvernement, un serveur interne de gestion de pare-feu accessible uniquement via ce tunnel, a été compromis le 24 octobre.
Dream a indiqué que les artefacts récupérés confirmaient une extraction d’identifiants et une énumération de répertoires. L’activité Active Directory rapportée comprenait le déchiffrement d’un mot de passe de compte de service LDAP, l’énumération d’utilisateurs et des essais de mots de passe inspirés de l’organisation sur des comptes utilisateurs. L’attaquant a également tenté de créer des comptes backdoor. On ignore toujours si ces essais de mots de passe ont permis d’obtenir des identifiants valides ou si la création de comptes a abouti, ce qui laisse l’ampleur totale de la compromission indéterminée.
Dream a signalé la présence de webshells actifs sur les 22 autres pare-feu rootés et a estimé que le tunnel de l’environnement gouvernemental était probablement toujours en fonctionnement.
L’implication de l’IA et l’attribution restent des évaluations
Les éléments suggérant une assistance de l’IA comprenaient Claude Code installé dans l’infrastructure d’attaque, des clés d’API FOFA et la plateforme de sécurité offensive aiscan configurée avec les modèles DeepSeek et Kimi. Dream a également cité des similitudes de structure et de commentaires dans près de 40 scripts. Ces observations suggèrent un développement assisté par l’IA ; elles n’établissent pas quelles actions l’IA a effectuées.
Dream a décrit l’acteur comme potentiellement lié à la Chine, citant le ciblage géographique. Cette attribution reste une évaluation.
Par ailleurs, le catalogue Known Exploited Vulnerabilities de la CISA a ajouté les deux failles PHP2Shell le 26 octobre, avec une échéance d’action fixée au 29 octobre. Les deux fiches demandent des mesures d’atténuation préconisées par le fournisseur et un triage forensique, l’évaluation de l’exposition à Internet et l’arrêt de l’utilisation si les mesures d’atténuation ne sont pas disponibles. Le catalogue établit l’exploitation connue des failles PHP ; il ne confirme pas indépendamment le récit de Dream sur cette opération.
