Une cyberattaque cible des pare-feu en exploitant deux vulnérabilités

Une cyberattaque a exploité deux failles logicielles, PHP2Shell et Fragnesia, pour compromettre des pare-feu, ce qui pourrait permettre un accès non autorisé à des systèmes sensibles. L'attaque combinait une vulnérabilité permettant l'exécution de code arbitraire et une autre permettant d'obtenir un accès root sur des systèmes basés sur Linux.

La faille Fragnesia permet d'obtenir un accès root

Fragnesia (CVE-2026-46300) est une vulnérabilité du noyau Linux qui permet aux attaquants d'élever leurs privilèges au niveau le plus élevé, appelé root. Elle provient d'un bogue dans un sous-système qui gère le trafic IPsec : celui-ci gère incorrectement les fragments de mémoire, ce qui permet de modifier sans autorisation des données système critiques.

Les attaquants ont contourné les mesures de sécurité

Les assaillants ont visé le fichier de configuration du module d'authentification PAM utilisé par la commande su, qui permet aux utilisateurs de passer à un autre compte utilisateur. En modifiant ce fichier, ils ont contourné les contrôles d'authentification, ce qui leur a permis d'accéder aux systèmes sans mot de passe ni vérification de l'utilisateur.

PHP2Shell utilisée pour exploiter les pare-feu

PHP2Shell, une autre vulnérabilité, a servi à exploiter des pare-feu dont l'interface d'administration repose sur PHP. L'attaque se déroulait en deux étapes : d'abord la manipulation de la mémoire pour contrôler les allocations futures, puis le contournement d'un mécanisme de sécurité appelé ASLR afin d'accéder à des zones mémoire restreintes.

Les attaquants ont repéré des milliers de pare-feu

Les assaillants ont utilisé FOFA, un outil basé en Chine et comparable à Shodan, pour identifier environ 19 000 pare-feu dont les interfaces d'administration étaient exposées. Parmi eux, ils ont restreint leurs cibles à 240 pare-feu situés aux États-Unis, au Japon, à Taïwan et en Corée du Sud, selon des critères précis.

Les attaquants ont visé des systèmes liés aux États-Unis

Sur les 24 pare-feu compromis avec succès, 22 n'ont pas été modifiés. Les deux autres appartenaient à une organisation liée au gouvernement américain. Les fichiers de configuration trouvés sur ces systèmes ont fourni des indices sur leur usage, notamment des références à des méthodes d'authentification et à des conventions de nommage utilisées dans les réseaux du gouvernement américain.

L'infrastructure de l'attaque indique une origine chinoise

L'infrastructure d'attaque utilisait des outils comme FOFA, iox et aiscan, configurés avec des modèles d'IA chinois tels que Kimi et DeepSeek. L'horloge des serveurs d'attaque était réglée sur UTC+8, correspondant à l'heure de Pékin, et certains journaux contenaient des messages en chinois, ce qui laisse penser que l'opération provenait de Chine.