Une faille du noyau Linux susceptible de donner aux attaquants un accès root a été ajoutée au catalogue de la Cybersecurity and Infrastructure Security Agency (CISA) consacré aux vulnérabilités activement exploitées.
La CISA a ajouté CVE-2026-46300, connue sous le nom de Fragnesia, le 28 oct. 2026. Selon des chercheurs en sécurité, les attaquants ont utilisé cette vulnérabilité d'élévation de privilèges Linux conjointement avec des failles d'exécution de code à distance pour compromettre des pare-feu Palo Alto Networks et atteindre l'infrastructure interne.
Palo Alto Networks a confirmé ces conclusions le 29 oct. Les intrusions signalées concernaient des systèmes de gestion de pare-feu compromis, des identifiants dérobés et des tentatives d'accès aux services d'identité d'entreprise.
Une faille Linux liée à 25 serveurs compromis
La liste des vulnérabilités connues et exploitées de la CISA fixe au 31 oct. la date limite de correction pour les agences civiles fédérales concernées. Fragnesia affiche un score CVSS 3.1 de 7,8, ce qui indique une gravité élevée.
Dans une enquête mise à jour le 29 oct., Dream Research a signalé 25 serveurs de pare-feu et de gestion compromis aux États-Unis, au Japon, à Taïwan et en Corée du Sud. Trois étaient associés à un environnement lié au gouvernement américain.
Dream Research a fait état de la compromission avec des privilèges root de 24 pare-feu exposés et d'un serveur de gestion interne. Dans un environnement lié au gouvernement américain, les attaquants ont également établi un tunnel persistant, extrait des identifiants et énuméré des comptes Active Directory.
Cette activité ressemble à de récentes attaques contre les systèmes de gestion de pare-feu Cisco, lors desquelles une infrastructure d'administration compromise a fourni un accès aux réseaux internes.
Comment les attaquants ont obtenu les privilèges root
Fragnesia provient d'une faille du noyau Linux qui ne préserve pas un marqueur de fragment partagé lors de la combinaison de tampons de sockets. Pendant le traitement de paquets chiffrés, cela peut permettre une modification indésirable de données adossées au cache de pages et ouvrir une voie vers les privilèges root.
La faille ne permet pas à elle seule d'obtenir un accès à distance. Les attaquants ont d'abord exploité deux vulnérabilités PHP d'exécution de code à distance, CVE-2026-109618 et CVE-2026-109619, désignées collectivement sous le nom de PHP2Shell, via des interfaces de gestion PAN-OS exposées.
Ils ont ensuite utilisé Fragnesia pour obtenir les privilèges root. Dream a indiqué que la chaîne d'attaque complète pouvait établir un webshell root persistant en moins de 15 minutes.
Une intrusion du VPN Ivanti a suivi une séquence similaire d'accès à distance et d'élévation de privilèges, suivie d'un vol d'identifiants.
Dans un bulletin sur les menaces publié le 29 oct., Unit 42 de Palo Alto Networks a vérifié indépendamment les outils utilisés par l'attaquant et confirmé les conclusions de Dream.
Comment les organisations peuvent limiter les risques
Les organisations doivent appliquer les correctifs aux systèmes Linux concernés, sécuriser les services de gestion exposés et rechercher d'éventuelles compromissions. Les mesures prioritaires comprennent :
- Appliquer les correctifs de sécurité. Installer les correctifs du noyau propres à chaque distribution et redémarrer lorsque cela est nécessaire. Consulter l'avis de sécurité de Palo Alto Networks pour connaître les versions de PAN-OS qui corrigent PHP2Shell.
- Restreindre l'accès à la gestion. Limiter les interfaces d'administration aux réseaux de confiance et segmenter l'infrastructure sensible. De récentes attaques contre Arista VeloCloud Orchestrator soulignent également le risque lié aux services de gestion exposés.
- Utiliser temporairement des mesures d'atténuation du noyau si nécessaire. Si le noyau Ubuntu concerné ne peut pas être corrigé immédiatement, suivre les recommandations de Canonical pour désactiver
esp4etesp6. Évaluer d'abord les dépendances IPsec et supprimer cette solution de contournement après l'installation de la mise à jour de sécurité. - Renforcer les accès privilégiés. Supprimer les comptes locaux inutiles, appliquer le principe du moindre privilège et restreindre les conteneurs privilégiés sur les hôtes vulnérables.
- Rechercher les indicateurs de compromission. Rechercher toute activité root inattendue, des webshells, des tunnels persistants et des accès inhabituels à Active Directory.
- Tester les plans de réponse aux incidents. Valider les procédures de confinement, de préservation des preuves, de renouvellement des identifiants et de reprise pour les systèmes de gestion compromis.
L'application des correctifs comble les vulnérabilités connues, mais ne permet pas de déterminer si des attaquants ont déjà obtenu un accès. Les organisations doivent rechercher la persistance et les identifiants compromis sur les systèmes exposés avant d'achever la remédiation.
En savoir plus : une faille zero-day exploitée de la gestion Check Point montre comment des vulnérabilités présentes dans des plateformes de sécurité centralisées peuvent exposer des fonctions d'administration et nécessiter des investigations postérieures à l'application des correctifs.