Détails de l'attaque technique
La société de cybersécurité Dream a détecté une campagne d'attaques cybernétiques sophistiquées ciblant des pare-feu (Firewalls) via l'exploitation d'une série de vulnérabilités connues sous le nom de PHP2Shell. Les attaquants s'appuient sur la combinaison de deux vulnérabilités dans le langage PHP (portant les codes CVE-2026-109618 et CVE-2026-109619) avec une vulnérabilité d'élévation de privilèges dans le noyau Linux connue sous le nom de Fragnesia (CVE-2026-46300).
Les attaquants ont utilisé le moteur de recherche chinois d'actifs techniques FOFA pour identifier 19 000 pare-feu accessibles en ligne, puis ont filtré les cibles en fonction de la localisation géographique (États-Unis, Japon, Taïwan et Corée du Sud) et des versions de PHP utilisées, réduisant ainsi la liste des cibles potentielles à 240 appareils. Les attaquants ont réussi à compromettre 25 pare-feu et ont installé des logiciels malveillants (Webshells) pour garantir la persistance de l'accès.
Pourquoi cette nouvelle est-elle importante ?
La dangerosité de cette attaque réside dans la capacité des attaquants à passer de la compromission d'un seul pare-feu au contrôle total de l'infrastructure administrative. Dans un cas documenté ciblant une institution affiliée au gouvernement américain, les attaquants ont utilisé le pare-feu compromis comme plateforme pour accéder au serveur de gestion interne des pare-feu. Cela leur a permis de :
- Accéder aux paramètres réseau et aux identifiants sensibles.
- Déchiffrer les mots de passe des comptes de service LDAP.
- Énumérer les utilisateurs et les groupes au sein du domaine (Domain).
- Exécuter des attaques par pulvérisation de mots de passe (Password Spraying) et tenter de créer des comptes de secours dans l'Active Directory.
Contexte stratégique
Les analyses indiquent que ces opérations s'alignent sur les objectifs de renseignement stratégique d'acteurs liés à l'État chinois dans la région du Pacifique. Bien que l'attaque n'ait pas été attribuée nommément à une entité spécifique, la nature des cibles et des techniques utilisées suggère une activité technique soutenue par un État, ce qui place les institutions sensibles des pays ciblés face à un défi de sécurité nécessitant une mise à jour immédiate des systèmes et la correction des vulnérabilités mentionnées.