Fragnesia et PHP2Shell : la seconde étape qui transforme un web shell en root

La plupart des articles consacrés à un web shell le considèrent comme la fin de l’histoire : quelque chose est entré, voici la charge utile, appliquez le correctif à l’appliance. Fragnesia, c’est ce qui se passe ensuite. CVE-2026-46300 est une élévation de privilèges locale dans le noyau Linux, divulguée en mai 2026 avec une preuve de concept publique et ajoutée au catalogue des vulnérabilités exploitées connues de la CISA le 28 octobre ; et si elle a finalement été inscrite sur cette liste, c’est parce que les attaquants l’utilisent comme seconde moitié d’une chaîne dont la première moitié est la faille PHP2Shell dont nous avons parlé le 23 octobre.

Selon le rapport de Dream Security sur la campagne, le résultat est le suivant : 25 serveurs compromis au niveau root aux États-Unis, au Japon, à Taïwan et en Corée du Sud, dont un réseau lié au gouvernement américain. Un shell web sur un équipement exposé à Internet constitue un point d'appui ; la faille du noyau est ce qui le transforme en une machine que l'attaquant contrôle au plus haut niveau de privilège, les protections propres de l'équipement ne faisant plus obstacle.

Ce qu'est Fragnesia

L’entrée du catalogue de la CISA décrit la CVE-2026-46300 comme une vulnérabilité « Linux Kernel Missing Initialization of a Variable ». L’analyse de Tenable la situe dans le chemin ESP-in-TCP du noyau — le code xfrm qui transporte le trafic IPsec sur TCP — et la classe comme une élévation de privilèges locale. Une variable utilisée avant d’être entièrement initialisée permet à un attaquant local d’influencer l’état du noyau, et la preuve de concept publiée permet d’obtenir root.

Deux propriétés le rendent dangereux en combinaison plutôt qu’à lui seul :

• C'est une locale escalade. Elle nécessite d'abord une exécution de code sur la machine, ce qui explique pourquoi ce n'est pas une CVE de premier plan à elle seule et pourquoi elle est dévastatrice en tant que deuxième étape.

• La preuve de concept est publique depuis mai. Il n'y a jamais eu de fenêtre durant laquelle un attaquant aurait eu besoin de développer quoi que ce soit — seulement une fenêtre durant laquelle les défenseurs devaient appliquer une mise à jour du noyau dont ils avaient déjà été informés.

Cet écart entre une divulgation de mai et un ajout au catalogue KEV en octobre est ce sur quoi il faut s'arrêter. Le KEV recense l'exploitation observée, pas la divulgation. Une vulnérabilité peut rester cinq mois dans un état proche du catalogue, puis basculer dès que quelqu'un assemble autour d'elle une chaîne fiable.

La chaîne, dans l'ordre

PHP2Shell est la partie d'entrée : CVE-2026-109618 et CVE-2026-109619, exploitées dans des interfaces de gestion Palo Alto Networks exposées sur Internet, qui relèvent de la catégorie des appliances PHP plutôt que de celle des produits de sécurité réseau que l'on imagine en entendant le nom du fournisseur. Le web shell permet à l'attaquant d'exécuter du code en tant qu'utilisateur web sur la base Linux de l'appliance.

Fragnesia est la moitié « sortie » : depuis ce contexte non privilégié, la faille du noyau permet d'atteindre root. Une fois root obtenu, l'attaquant n'affronte plus une application — les journaux de l'appliance, sa configuration, ses clés et les tunnels qu'elle termine sont tous lisibles et modifiables. Sur un pare-feu, c'est la différence entre « un service est compromis » et « le périmètre est compromis ».

La raison pour laquelle cet appariement compte davantage que l’une ou l’autre des CVE tient à ce que les fournisseurs d’appliances corrigent lentement, pour des raisons structurelles : le firmware est livré sous forme d’image, la mise à jour nécessite une fenêtre de maintenance, et le parc comporte une longue traîne d’appareils que personne ne mettra jamais à niveau. Une chaîne qui ne requiert aucun nouveau développement d’exploit et qui touche des appareils à la traîne est une chaîne qui continuera de fonctionner.

Qu'est-ce qui fait de cela une histoire plutôt qu'une note de bas de page ?

Trois choses, dans l’ordre de l’impact qu’elles devraient avoir sur votre semaine.

D'abord, la campagne a traversé des secteurs et des frontières en une seule opération, ce qui est la signature d'un scan d'infrastructure plutôt que d'une intrusion ciblée. Vingt-cinq hôtes dans quatre pays, voilà à quoi ressemble un exploit réussi lorsqu'il est exécuté comme un balayage.

Deuxièmement, l’un des réseaux compromis est décrit comme affilié au gouvernement américain. C’est pourquoi la CISA a ajouté la faille du noyau dans la journée suivant le rapport plutôt que selon sa cadence habituelle, et c’est aussi pourquoi l’entrée existe tout court : le catalogue est une liste de défenseurs, pas de chercheurs.

Troisièmement, les reportages sur la campagne notent que l’outillage d’IA aurait pu contribuer à l’intrusion. Cette affirmation n’est pas établie, et la lecture honnête est qu’il s’agit d’une hypothèse rattachée à une opération rapide et multi-cible plutôt que d’une conclusion pour laquelle quiconque aurait publié des preuves. Il vaut la peine de la suivre, car c’est la troisième fois ce mois-ci qu’un article de sécurité se termine par « et peut-être qu’un agent l’a fait » — et les deux premiers, la découverte Brotli et la preuve de concept TCP sous Linux, étaient documentés plutôt que spéculés.

Ce qu'il faut vérifier

• Version du noyau sur tout hôte Linux qui termine le trafic public, en particulier les appliances. Fragnesia nécessite un noyau antérieur au correctif, et le correctif est disponible depuis la divulgation de mai.

• Le chemin ESP-in-TCP spécifiquement. Si vous ne faites pas passer IPsec sur TCP, désactiver les modules concernés supprime la surface d’attaque — la même famille de mesures d’atténuation que celle utilisée pour les bogues de fragmentation précédents, et documentée par plusieurs équipes HPC universitaires comme mesure provisoire pratique.

• La classe d'appareils PHP pour la moitié « entrée ». Tout appareil dont l'interface de gestion fonctionne sous PHP et est joignable depuis internet constitue la population dans laquelle cette campagne a effectué sa sélection.

• Si votre processus de correctifs atteint réellement ces appareils. C’est la question à laquelle la campagne répond pour vous : 25 hôtes rootés constituent une mesure du nombre de personnes n’ayant pas appliqué un correctif du noyau datant de cinq mois.

Pourquoi nous écrivons ceci en une seconde

Notre article sur PHP2Shell est la seule page de la vague CVE actuelle à avoir généré un véritable trafic — environ 260 impressions et trois clics sur sept jours, ce qui est faible en valeur absolue et énorme par rapport aux autres pages CVE de ce blog, qui ont des impressions et aucun clic. C’est un indicateur d’intention : les personnes qui recherchent une CVE nommée veulent qu’on leur explique le point d’entrée, et elles restent pour la partie sur ce qui se passe ensuite.

Fragnesia est cette partie, et c’est la raison de considérer la vague comme une chaîne plutôt qu’une liste. Un lecteur qui corrige PHP2Shell mais pas le noyau a fermé la porte et laissé la fenêtre ouverte, et la campagne décrite cette semaine a exactement cette forme.

L'archive des incidents d'IA OrcaRouter indexe des incidents comme celui-ci en les rapportant à des sources primaires, à leur gravité et à leur niveau de confiance, ce qui constitue la version durable d'une histoire dont on se souviendrait autrement comme d'« un truc de pare-feu d'octobre ».

Ce qui changerait ce récit : des preuves que la campagne des 25 serveurs a utilisé une escalade différente de celle de Fragnesia, ou une analyse technique publiée attribuant l’intrusion à une reconnaissance assistée par l’IA. Ni l’une ni l’autre n’existe dans les éléments disponibles au 30 octobre, et tous deux relèvent du type d’affirmation qu’il vaut mieux qualifier d’ouverte plutôt que de trancher par implication.

Note de source : l'ajout au KEV le 28 octobre et le titre du catalogue proviennent de l'alerte de la CISA datée du même jour. Le mécanisme ESP-in-TCP, la classification en élévation de privilèges locale et la divulgation de mai 2026 accompagnée d'une preuve de concept publique proviennent de l'analyse de Tenable et de la fiche CVE. Le décompte de 25 serveurs, les quatre pays et le réseau lié au gouvernement américain proviennent du rapport de campagne de Dream Security tel que résumé dans la presse spécialisée. Les numéros CVE de PHP2Shell et la classe d'interface concernée proviennent de notre propre couverture du 23 octobre et de ses sources. L'affirmation selon laquelle « des outils d'IA auraient pu aider » est issue de la couverture presse de la campagne et n'est explicitement pas confirmée. Nos chiffres de trafic proviennent de Search Console pour les sept jours se terminant le 29 octobre.