Palo Alto Networks confirme l'exploitation active des failles PHP2Shell dans les interfaces de gestion exposées

Palo Alto Networks a confirmé que des acteurs malveillants exploitent activement des vulnérabilités PHP critiques dans ses interfaces de gestion de pare-feu exposées au public via Internet. Cet avertissement, publié mercredi, fait suite aux rapports de la société de cybersécurité Dream concernant un groupe présumé lié à la Chine ayant compromis des serveurs dans plusieurs pays. Cette évolution marque une escalade significative dans l'exploitation des failles PHP2Shell récemment corrigées.

Ce qui s'est passé

Les vulnérabilités, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, présentent un score CVSS de 9,2 et permettent l'exécution de code à distance sans authentification sur les systèmes utilisant des versions PHP affectées. Ces problèmes ont été corrigés par la PHP Foundation le 21 octobre 2026, dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Cependant, les attaques ciblent désormais les appareils qui n'ont pas encore été mis à jour ou qui restent exposés au trafic externe.

La société de cybersécurité Dream a signalé avoir observé un acteur malveillant enchaînant ces failles PHP avec un bug d'élévation de privilèges du noyau Linux, suivi sous le nom de Fragnesia (CVE-2026-46300). Cette combinaison a permis aux attaquants d'obtenir un accès root sur 25 serveurs situés aux États-Unis, au Japon, à Taïwan et en Corée du Sud, dont trois systèmes liés à un environnement affilié au gouvernement américain. Les attaquants ont ensuite ciblé Active Directory, extrayant des identifiants et énumérant les structures de répertoire.

En réponse, l'Agence américaine de la cybersécurité et de la sécurité des infrastructures (CISA) a ajouté la CVE-2026-46300 à son catalogue des vulnérabilités connues exploitées, obligeant les agences fédérales à appliquer les correctifs avant le 31 octobre 2026. La CISA a noté que cette vulnérabilité peut être enchaînée avec les failles PHP pour implanter des web shells et exécuter des commandes avec des privilèges root. Palo Alto Networks a déclaré que bien qu'une petite fraction seulement de sa base installée mondiale dispose d'interfaces de gestion exposées à Internet, ces clients ont été contactés individuellement.

Détails clés

• Vulnérabilités : Les CVE-2026-109618 et CVE-2026-109619 (CVSS 9,2) permettent l'exécution de code à distance sans authentification via les failles PHP2Shell.
• Chaîne d'exploitation : Les attaquants combinent les failles PHP avec la CVE-2026-46300 (Fragnesia, CVSS 7,8) pour obtenir un accès root sur les systèmes de pare-feu basés sur Linux.
• Portée de l'impact : Dream a observé des compromissions sur 25 serveurs aux États-Unis, au Japon, à Taïwan et en Corée du Sud, y compris des systèmes affiliés au gouvernement américain.
• Interface affectée : Le problème affecte strictement l'interface web de gestion (UI HTTPS et API XML), en particulier lorsqu'elle est exposée à des adresses IP externes.
• Statut des correctifs : Des correctifs sont disponibles pour la plupart des versions PAN-OS, certaines étant attendues d'ici le 30 octobre 2026.
• Réponse de l'éditeur : Palo Alto Networks a confirmé l'exploitation et a recommandé la suppression immédiate de l'accès Internet public aux interfaces de gestion.

Contexte

PHP2Shell désigne une classe de vulnérabilités dans PHP permettant aux attaquants d'exécuter des commandes système arbitraires via des applications web. Lorsque de telles failles existent dans les interfaces de gestion des équipements réseau, elles offrent un chemin direct aux attaquants pour prendre le contrôle du système d'exploitation sous-jacent. Dans ce cas, le pare-feu exécute un OS basé sur Linux, ce qui le rend vulnérable aux bugs d'élévation de privilèges locaux comme Fragnesia une fois l'accès initial obtenu.

Les interfaces de gestion des pare-feu sont conçues pour les tâches administratives et ne devraient idéalement être accessibles que depuis des réseaux internes fiables. L'exposition de ces interfaces à Internet public augmente considérablement la surface d'attaque, car elle permet à quiconque de tenter des attaques par force brute d'authentification ou d'exploiter des vulnérabilités non corrigées. Les bonnes pratiques imposent de restreindre l'accès à des plages d'IP internes spécifiques et d'utiliser des réseaux privés virtuels (VPN) pour l'administration à distance.

Pourquoi c'est important

Pour les équipes gérant leur propre infrastructure, cet incident souligne l'importance critique de la segmentation réseau et des contrôles d'accès stricts. Même si vous corrigez vos systèmes rapidement, l'exposition des ports de gestion à Internet les laisse vulnérables aux exploits zero-day ou à l'exploitation rapide de nouvelles failles divulguées. La rapidité avec laquelle les acteurs malveillants ont enchaîné ces vulnérabilités démontre que les stratégies de défense en profondeur sont essentielles, et non optionnelles.

Les environnements auto-hébergés reposent souvent sur des dispositifs de sécurité périmétrique comme les pare-feux pour protéger les services internes. Si le pare-feu lui-même est compromis, l'ensemble du réseau interne devient vulnérable. L'extraction des identifiants Active Directory mentionnée dans le rapport suggère que les attaquants utilisent ces points d'appui pour se déplacer latéralement, compromettant potentiellement les serveurs de messagerie, les bases de données et autres applications métier critiques. S'assurer que les interfaces de gestion ne soient jamais accessibles publiquement est une étape fondamentale pour protéger votre stack auto-hébergé.

Ce que vous pouvez faire

• Restreindre l'accès immédiatement : Assurez-vous que les interfaces de gestion du pare-feu ne sont pas accessibles depuis Internet public. Autorisez uniquement les connexions provenant d'adresses IP internes fiables.
• Appliquer les correctifs : Mettez à jour PAN-OS vers les versions corrigées listées dans l'avis de sécurité. Vérifiez quotidiennement les mises à jour jusqu'à ce que toutes les versions concernées soient patchées.
• Activer la prévention des menaces : Si vous ne pouvez pas patcher immédiatement, activez les profils de prévention des menaces sur le trafic entrant vers les services de gestion et déchiffrez le trafic entrant pour inspection.
• Auditer l'exposition : Utilisez des outils de gestion de la surface d'attaque pour vérifier qu'aucun port de gestion n'est accidentellement exposé à Internet.
• Surveiller les logs : Examinez les logs du pare-feu pour détecter des schémas d'accès inhabituels ou des tentatives d'authentification échouées sur l'interface de gestion.
• Remplacer les certificats : Comme mesure d'atténuation, remplacez le certificat utilisé pour la gestion du trafic entrant afin de perturber les éventuelles attaques de type homme du milieu (man-in-the-middle).