Dream révèle une chaîne d’attaque PHP2Shell qui a compromis 25 serveurs

Dream a fait état d’une chaîne d’attaque PHP2Shell qui aurait, selon l’entreprise, compromis 25 serveurs, dont des systèmes situés dans un environnement lié au gouvernement américain. Son enquête du 26 octobre décrit comment une interface de gestion de pare-feu exposée a servi de voie d’accès à l’infrastructure d’identité interne.

Le total annoncé comprend 24 pare-feu périmétriques et un serveur de gestion interne. Dream n’a pas révélé le fournisseur concerné ni les versions des logiciels touchés et a indiqué avoir informé le fournisseur.

Comment la chaîne d’exploitation a franchi deux frontières de sécurité

La chaîne associait PHP2Shell, suivi sous les références CVE-2026-109618 et CVE-2026-109619, à la vulnérabilité d’élévation de privilèges Fragnesia sous Linux, CVE-2026-46300.

Ces vulnérabilités permettent de franchir des barrières différentes. L’exécution de code à distance donne à un attaquant la possibilité d’exécuter du code par l’intermédiaire d’un service accessible. L’élévation de privilèges locale peut ensuite transformer un accès limité en prise de contrôle du système d’exploitation. Leur combinaison modifie les enjeux de la réponse à incident : les enquêteurs doivent déterminer ce à quoi l’équipement compromis pouvait accéder au-delà de sa propre interface de gestion.

Red Hat décrit Fragnesia comme une faille du sous-système XFRM ESP-in-TCP du noyau Linux. Un traitement cryptographique non sécurisé peut permettre à un attaquant local disposant de privilèges limités de modifier le cache de pages de fichiers en lecture seule, d’écraser des binaires privilégiés et d’obtenir les privilèges root. Il s’agit donc d’un mécanisme d’élévation distinct, et non du point d’entrée initial sans authentification.

Dream a confirmé l’extraction d’un identifiant de compte de service LDAP ainsi que l’énumération de l’annuaire. L’entreprise n’a pas pu déterminer si les tentatives de pulvérisation de mots de passe, de création d’un compte dérobé ou d’extraction de la clé de signature SAML avaient abouti. Ces limites sont importantes : un accès confirmé aux informations de l’annuaire ne prouve pas une prise de contrôle complète d’Active Directory.

Ce que les éléments liés à l’IA permettent d’établir

Les enquêteurs ont trouvé Claude Code installé ainsi qu’une plateforme offensive configurée avec DeepSeek et Kimi. Dream a indiqué ne disposer d’aucune preuve directe que ces outils avaient servi à écrire l’exploit ou les scripts de post-exploitation, et n’a pas qualifié l’opération de totalement autonome. L’hypothèse d’un lien avec la Chine qu’elle avance reste provisoire ; aucun acteur malveillant n’a été nommé.

Pour les défenseurs, cette distinction permet de séparer les outils observés des conclusions sur l’auteur, l’identité de l’opérateur ou le degré d’autonomie. La présence d’un assistant de programmation peut étayer une hypothèse sur le déroulement des opérations, mais ne permet pas, à elle seule, de déterminer quelles décisions un modèle a prises ni qui a dirigé l’opération.

Les correctifs PHP et la période d’exploitation antérieure à leur publication

L’avis du projet PHP du 21 octobre indique que PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 sont les versions de sécurité qui corrigent les deux vulnérabilités critiques d’exécution de code à distance. Dans un cas, la gestion d’un manque de mémoire laisse des données internes de requête partiellement initialisées ; dans l’autre, un état interne obsolète persiste après la libération de la mémoire qui le sous-tendait.

Le projet avertit que les installations PHP qui traitent des requêtes web sont exposées, le risque étant jugé le plus élevé avec la configuration mod_php d’Apache. Il précise que les mesures d’atténuation partielles n’offrent pas une protection complète et recommande aux utilisateurs d’effectuer la mise à jour. Pour les appareils préconfigurés, la méthode de correction dépend en pratique du micrologiciel pris en charge par le fournisseur et des correctifs rétroportés, et non du seul numéro de version de l’environnement d’exécution.

Unite.AI a déjà abordé les correctifs PHP et le rôle de l’IA de pointe dans la découverte des failles. Ce nouveau rapport déplace l’attention de la découverte vers les conséquences d’un déploiement exposé.

Par ailleurs, Amazon Threat Intelligence a signalé des tentatives d’exploitation de PHP2Shell sur son réseau de pots de miel MadPot à partir du 17 octobre, avant la divulgation publique. Ces données de télémétrie ne permettent pas d’établir que la même personne ou le même groupe a mené la campagne décrite par Dream.

AWS recommande de mesurer en heures les délais d’atténuation des vulnérabilités critiques exposées à Internet, de mener les enquêtes en remontant jusqu’aux premières activités d’exploitation connues plutôt qu’à la date de divulgation, et de mettre au point des détections qui ne reposent pas uniquement sur une signature propre à un CVE. Pour PHP2Shell, AWS recommande de remonter au moins jusqu’au 17 octobre.

La place de la technologie de Dream

Sur son site web d’entreprise, Dream présente Hero comme un système autonome de recherche en cybersécurité qui prend en charge l’analyse des vulnérabilités, la rétro-ingénierie des logiciels malveillants, l’analyse forensique et la validation des correctifs. Sa plateforme complémentaire Sphere vise à cartographier l’exposition et à hiérarchiser les mesures de défense dans les administrations et les environnements d’infrastructures critiques.

La distinction technique tient à la différence entre l’analyse d’une vulnérabilité précise et la compréhension de son importance à l’échelle d’un réseau opérationnel. Un équipement périmétrique, son serveur de gestion et un annuaire d’identité peuvent relever de responsables différents et suivre des cycles de mise à jour distincts, mais un attaquant peut les relier pour créer un seul chemin d’attaque. Pour contenir efficacement la menace, il faut examiner ce chemin tout en installant les mises à jour concernées.