PHP2Shell exploité sur des pare-feu : 15 minutes pour passer d'Internet à un accès root

La semaine dernière, nous expliquions comment réagir aux failles critiques de PHP baptisées PHP2Shell, et nous signalions que certains équipements de sécurité embarquaient un PHP vulnérable. Cette semaine, ce risque s'est concrétisé : des attaquants ont utilisé ces failles pour prendre le contrôle total de pare-feu Palo Alto Networks dont l'interface d'administration était accessible depuis Internet.

Ce qui s'est passé

Le 29 octobre 2026, l'équipe de recherche Unit 42 de Palo Alto Networks a confirmé une campagne découverte par la société de cyberdéfense Dream. Les faits rapportés :

• Les 23 et 24 octobre, l'attaquant a recensé environ 19 000 pare-feu PAN-OS dont l'interface d'administration était exposée sur Internet.
• Il les a filtrés par pays et par version, pour ne garder que 240 cibles aux États-Unis, au Japon, à Taïwan et en Corée du Sud, sous PAN-OS 12.1 et 12.2.
• 24 équipements ont été compromis avec un accès root, le niveau d'administration le plus élevé.
• Deux d'entre eux, dans un environnement lié au gouvernement américain, ont reçu un accès persistant. L'attaquant a ensuite compromis le serveur qui administrait de façon centralisée les pare-feu de cette organisation, soit 25 systèmes au total.

Ce dernier point est le plus grave : le serveur de gestion centralisée donnait accès aux configurations, aux identifiants et aux paramètres réseau de tous les pare-feu, ainsi qu'à un chemin vers l'annuaire Active Directory.

Dream attribue l'opération à un groupe probablement lié à un État, en raison du ciblage très précis. Palo Alto Networks indique qu'environ 0,02 % de ses équipements installés, ceux dont l'interface d'administration était exposée sur Internet et qui tournaient sous les versions concernées, ont été touchés. Chaque client concerné a été contacté.

Une chaîne de deux failles, en une seule requête

L'attaque combine deux vulnérabilités :

1. PHP2Shell (CVE-2026-109618 et CVE-2026-109619), adaptée spécifiquement au serveur web d'administration de PAN-OS, pour exécuter du code sans authentification.
2. Fragnesia (CVE-2026-46300), une faille du noyau Linux, pour obtenir les droits root sans mot de passe.

Selon Dream, la chaîne complète, d'une simple connexion HTTPS jusqu'à un accès root permanent, prenait moins de 15 minutes. Il ne s'agissait pas d'une attaque improvisée : l'attaquant avait récupéré et déchiffré les micrologiciels, extrait les bibliothèques PHP et testé son exploit en laboratoire sur neuf versions logicielles.

La chaîne d'attaque contre les pare-feu

Pourquoi c'est une leçon pour tout le monde

Cette attaque ne concerne pas que les clients Palo Alto. Elle illustre trois principes qui valent pour tous les équipements, quel que soit le constructeur.

Une interface d'administration n'a rien à faire sur Internet

Palo Alto rappelle que la configuration par défaut n'expose pas l'interface d'administration. Les équipements touchés étaient ceux dont l'interface avait été ouverte. Pare-feu, commutateurs, hyperviseurs, consoles de sauvegarde : leur administration doit passer par un réseau dédié, un bastion ou un VPN d'administration.

Une faille n'arrive jamais seule

Une faille jugée « moyenne » parce qu'elle exige un accès local devient critique dès qu'une autre faille donne cet accès. Prioriser les correctifs uniquement selon leur note individuelle ne suffit pas.

La console centrale est la cible la plus précieuse

Un serveur qui administre tous vos équipements donne, une fois compromis, les clés de tout le réseau. Il mérite le plus haut niveau de protection : accès restreints, authentification forte, journalisation, surveillance.

Que faire maintenant

• Clients Palo Alto : appliquez les correctifs PAN-OS publiés pour PHP2Shell, qui coupent la chaîne observée. Retirez tout accès Internet à l'interface d'administration et limitez-la à des adresses internes de confiance. Les signatures de prévention (Threat ID 543004) offrent une protection supplémentaire, sans remplacer le correctif.
• Si votre interface était exposée : considérez l'équipement comme potentiellement compromis. Vérifiez les comptes, les configurations et les connexions sortantes, et changez les identifiants qu'il contenait.
• Pour tous vos équipements : dressez la liste des interfaces d'administration joignables depuis Internet, quel que soit le constructeur, et fermez-les.
• Corrigez aussi le noyau Linux de vos serveurs et appliances lorsque l'éditeur le permet : c'est le second maillon de la chaîne.

Ce qu'il faut retenir

Entre la divulgation de PHP2Shell et la compromission de pare-feu, il s'est écoulé quelques jours seulement. Les équipements de sécurité sont eux-mêmes des cibles, et une interface d'administration exposée transforme un pare-feu en porte d'entrée.

Sources

• Infosecurity Magazine : un acteur compromet un réseau gouvernemental via PHP2Shell
• Unit 42 (Palo Alto Networks) : bulletin sur CVE-2026-109618 et CVE-2026-109619
• InformationWeek : la semaine du 26 au 30 octobre
• Dream : rapport sur la chaîne d'exploitation

---

BigMind audite l'exposition de vos interfaces d'administration, applique les correctifs sur vos équipements et met en place des accès d'administration sécurisés. Parlons de votre situation.