Exploit PHP2Shell chaîné avec LPE kernel compromet 25 serveurs dont des systèmes gouvernementaux US
🔍 Contexte Publié le 26 octobre 2026 par Dream Research (source : dreamgroup.com), cet article détaille la découverte d’une campagne d’attaque sophistiquée identifiée le 25 octobre 2026 via l’outil de threat hunting autonome Hero. La campagne a compromis 25 serveurs dans plusieurs pays, dont des systèmes affiliés au gouvernement américain. 🎯 Vecteur d’attaque et vulnérabilités L’attaquant a développé une chaîne d’exploitation combinant deux vulnérabilités : CVE-2026-109618 / CVE-2026-109619 (PHP2Shell) : exploitation du mécanisme session.upload_progress de PHP 8.0.30 sur le serveur de gestion appweb d’un pare-feu (vendeur non divulgué). L’attaque se déroule en 4 étapes orchestrées (épuisement mémoire ~383 Mo, fuite d’information via OOM, référence stale ~500 Mo, exécution de code via HashTable forgé) aboutissant à une RCE en tant qu’utilisateur nobody. CVE-2026-46300 (Fragnesia) : LPE kernel via le sous-système XFRM ESP-in-TCP, permettant d’écraser /etc/pam.d/su avec pam_permit.so via des écritures page-cache, contournant SELinux pour obtenir un accès root complet. La chaîne complète s’exécute en moins de 15 minutes via une seule requête HTTPS non authentifiée. ...