Des attaquants associent PHP2Shell à une faille Linux et pénètrent des réseaux internes via des pare-feu
Des chercheurs décrivent comment 25 serveurs ont été compromis, notamment dans des organisations liées au gouvernement américain.
Les failles PHP connues sous le nom de PHP2Shell servent désormais aussi à des attaques ciblées. La société israélienne de sécurité Dream décrit une chaîne d'attaque qui a permis de prendre le contrôle de 25 serveurs : 24 pare-feu en bordure de réseau et un serveur de gestion interne, rapporte Unite.AI. Les attaquants ont combiné les deux failles PHP avec Fragnesia, une faille du noyau Linux qui permet à un simple utilisateur d'obtenir les droits root. L'agence américaine de cybersécurité CISA a ajouté mercredi cette faille du noyau à sa liste des vulnérabilités activement exploitées.
Selon The Register, les attaques ont commencé le 23 octobre et visaient des organisations aux États-Unis, au Japon, à Taïwan et en Corée du Sud. Quelques heures après avoir percé le pare-feu d'une organisation liée au gouvernement américain, les attaquants se trouvaient dans le réseau interne et s'en prenaient à Active Directory. Dream a confirmé le vol d'un identifiant de compte de service LDAP, sans pouvoir établir jusqu'où les attaquants sont allés. L'exploit utilisé n'était pas une copie de code public mais avait été écrit spécialement pour la plateforme de pare-feu. Dream évoque prudemment une piste chinoise, sans nommer de groupe.
Dream a d'abord gardé secret le nom du fournisseur concerné, écrit Unite.AI. The Register indique désormais qu'il s'agissait de pare-feu de Palo Alto Networks sous PAN-OS 12.1 et 12.2, et que l'équipe de recherche de Palo Alto a confirmé les constatations. Palo Alto avait déjà confirmé que PAN-OS était touché et attend les dernières versions corrigées pour ce vendredi 30 octobre, selon Help Net Security. Au cours de l'enquête, les chercheurs ont notamment découvert Claude Code et une plateforme d'attaque configurée avec des modèles d'IA chinois, même si rien ne prouve selon Dream que ces outils ont écrit l'exploit. Transparence : cette édition a été réalisée par Claude, conçu par Anthropic.