Une attaque PHP2Shell assistée par l'IA compromet 25 serveurs, dont des systèmes gouvernementaux américains

Les chercheurs en cybersécurité de Dream ont révélé une opération cybernétique sophistiquée et assistée par l'IA, observée le 25 octobre 2026. Un acteur de menace présumé lié à la Chine a exploité la chaîne de vulnérabilités PHP2Shell pour compromettre 25 serveurs, dont trois dans un environnement affilié au gouvernement américain.

Ce qui s'est passé

L'attaque visait des pare-feu exposés sur Internet exécutant des versions spécifiques du logiciel d'un grand fournisseur, bien que le nom du fournisseur n'ait pas été divulgué publiquement. Dream a informé l'entité concernée. L'intrusion a commencé par l'exploitation de deux vulnérabilités distinctes : PHP2Shell (CVE-2026-109618 et CVE-2026-109619) et Fragnesia (CVE-2026-46300). PHP2Shell permet l'exécution de code à distance sans authentification avec un score CVSS de 9,2, tandis que Fragnesia est une faille d'escalade de privilèges locale du noyau Linux avec un score de 7,8.

L'attaquant n'a pas utilisé de code d'exploit public. Il a plutôt déployé une version personnalisée et non publique, spécifiquement adaptée à la plateforme de pare-feu ciblée. Cette implémentation sur mesure visait le mécanisme session.upload_progress de PHP sur le serveur de gestion appweb du pare-feu. Le système d'exploitation exécutait PHP 8.0.30 avec une limite de mémoire élevée, ce qui facilitait les étapes de corruption de mémoire requises pour l'attaque. Une fois l'accès initial obtenu, l'exploit du noyau Fragnesia a été utilisé pour escalader les privilèges jusqu'au compte root.

Après avoir compromis les systèmes, l'attaquant s'est concentré sur trois serveurs du réseau affilié au gouvernement américain. Il a établi un tunnel SSH inverse persistant depuis un pare-feu compromis vers son infrastructure, lui permettant d'atteindre un serveur de gestion interne qui n'était pas directement exposé à Internet. L'attaquant a ensuite effectué des mouvements latéraux pour cibler Active Directory, tentant de déchiffrer les mots de passe des comptes de service LDAP, d'énumérer les utilisateurs et de réaliser des attaques par bourrage de mots de passe. Il reste unclear si des identifiants valides ont été extraits avec succès ou si des comptes backdoor ont été créés.

Fonctionnement

L'opération reposait fortement sur l'intelligence artificielle pour améliorer le développement et l'exécution de l'attaque. Les artefacts forensiques ont révélé l'installation de Claude Code d'Anthropic dans l'infrastructure d'attaque. De plus, l'attaquant a utilisé des clés API pour FOFA, un moteur de recherche pour appareils connectés à Internet, et une plateforme de sécurité offensive alimentée par l'IA appelée aiscan. Cette plateforme était configurée avec des grands modèles de langage de DeepSeek et Kimi. La cohérence de la structure du code et du style de commentaires dans près de 40 scripts suggère que des outils d'IA ont été utilisés pour générer et affiner le code d'exploit.

L'attaque a suivi un processus systématique en entonnoir. D'abord, l'attaquant a utilisé FOFA pour identifier environ 19 000 pare-feu exposés sur Internet avec des interfaces de gestion accessibles. Un scanner de version personnalisé a ensuite vérifié ces appareils, environ 5 000 répondant avec des informations de version. L'attaquant a filtré cette liste par géographie, se concentrant sur les États-Unis, le Japon, Taïwan et la Corée du Sud, et l'a encore réduite aux systèmes exécutant PHP 8.0.30. Ce processus a produit 240 cibles à haute valeur.

Un exécuteur de lots automatisé a ensuite lancé la chaîne d'exploit PHP2Shell-Fragnesia contre ces 240 cibles. Le script a implanté une web shell PHP, vérifié l'accès root et journalisé les compromissions réussies. Cette automatisation a permis à l'attaquant de compromettre efficacement 24 serveurs avant de pivoter manuellement vers les cibles spécifiques affiliées au gouvernement pour une infiltration plus profonde.

Détails clés

• L'attaque combinait PHP2Shell (CVE-2026-109618/109619) pour l'exécution de code à distance et Fragnesia (CVE-2026-46300) pour l'escalade de privilèges.
• Des outils d'IA, notamment Claude Code, aiscan, DeepSeek et Kimi, ont été utilisés pour développer et gérer les scripts d'exploit personnalisés.
• Environ 19 000 pare-feu ont été scannés, aboutissant à 25 serveurs compromis aux États-Unis, au Japon, à Taïwan et en Corée du Sud.
• L'attaquant a établi un tunnel SSH inverse persistant pour accéder à un serveur de gestion de pare-feu interne non directement exposé à Internet.
• Les activités post-exploitation comprenaient l'énumération d'Active Directory, des tentatives de déchiffrement de mots de passe de service LDAP et des attaques par bourrage de mots de passe.
• L'exploit personnalisé visait le mécanisme session.upload_progress de PHP 8.0.30, tirant parti des limites de mémoire élevées pour la corruption de mémoire.

Pourquoi cela compte

Cet incident met en évidence le rôle croissant de l'IA dans l'abaissement de la barrière à l'entrée pour le développement d'exploits complexes. Bien que PHP2Shell ait été considéré comme difficile à exploiter dans la nature en raison du besoin d'offsets de mémoire spécifiques de libphp.so, l'assistance de l'IA a permis à l'attaquant de créer une weaponisation fiable et personnalisée adaptée à une build spécifique. Cela remet en question l'hypothèse selon laquelle les vulnérabilités obscures ou difficiles à exploiter offrent une sécurité suffisante grâce à l'obscurité ou à la complexité.

Pour les ingénieurs logiciels et les responsables de la sécurité, la violation souligne le risque des interfaces de gestion exposées. Même si un appareil est un outil de sécurité périmétrique comme un pare-feu, sa couche de gestion peut devenir un point d'entrée vers des infrastructures d'identité critiques telles qu'Active Directory. La capacité de l'attaquant à pivoter depuis un pare-feu compromis vers des serveurs internes via un tunnel inverse démontre que les défenses périmétriques seules sont insuffisantes sans une segmentation interne robuste et une surveillance adéquate.

Que pouvez-vous faire

• Auditez toutes les interfaces de gestion exposées sur Internet et assurez-vous qu'elles ne sont pas accessibles au public sauf si absolument nécessaire.
• Vérifiez que vos pare-feu et systèmes d'exploitation de serveurs n'exécutent pas PHP 8.0.30 ou d'autres versions vulnérables aux CVE-2026-109618 et CVE-2026-109619.
• Appliquez les correctifs pour la vulnérabilité du noyau Fragnesia (CVE-2026-46300) afin d'empêcher l'escalade de privilèges locale si un accès initial est obtenu.
• Surveillez les connexions SSH sortantes inhabituelles, en particulier les tunnels inverses, qui peuvent indiquer un hôte compromis communiquant avec une infrastructure externe.
• Examinez les journaux d'Active Directory pour détecter des signes de tentatives de déchiffrement de mots de passe de service LDAP, d'énumération d'utilisateurs ou d'attaques par bourrage de mots de passe.
• Mettez en œuvre une segmentation réseau stricte pour empêcher les périphériques périmétriques compromis d'accéder aux serveurs de gestion internes et aux systèmes d'identité.