https://cyberveille.ch/tags/lpe-kernel/ Recent content in LPE Kernel on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Thu, 29 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-29-exploit-php2shell-chaine-avec-lpe-kernel-compromet-25-serveurs-dont-des-systemes-gouvernementaux-us/ Thu, 29 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-29-exploit-php2shell-chaine-avec-lpe-kernel-compromet-25-serveurs-dont-des-systemes-gouvernementaux-us/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 26 octobre 2026 par Dream Research (source : dreamgroup.com), cet article détaille la découverte d&rsquo;une campagne d&rsquo;attaque sophistiquée identifiée le 25 octobre 2026 via l&rsquo;outil de threat hunting autonome <strong>Hero</strong>. La campagne a compromis <strong>25 serveurs</strong> dans plusieurs pays, dont des systèmes affiliés au gouvernement américain.</p> <h2 id="-vecteur-dattaque-et-vulnérabilités">🎯 Vecteur d&rsquo;attaque et vulnérabilités</h2> <p>L&rsquo;attaquant a développé une chaîne d&rsquo;exploitation combinant deux vulnérabilités :</p> <ul> <li><strong>CVE-2026-109618 / CVE-2026-109619 (PHP2Shell)</strong> : exploitation du mécanisme <code>session.upload_progress</code> de PHP 8.0.30 sur le serveur de gestion <code>appweb</code> d&rsquo;un pare-feu (vendeur non divulgué). L&rsquo;attaque se déroule en 4 étapes orchestrées (épuisement mémoire ~383 Mo, fuite d&rsquo;information via OOM, référence stale ~500 Mo, exécution de code via HashTable forgé) aboutissant à une RCE en tant qu&rsquo;utilisateur <code>nobody</code>.</li> <li><strong>CVE-2026-46300 (Fragnesia)</strong> : LPE kernel via le sous-système XFRM ESP-in-TCP, permettant d&rsquo;écraser <code>/etc/pam.d/su</code> avec <code>pam_permit.so</code> via des écritures page-cache, contournant SELinux pour obtenir un accès root complet.</li> </ul> <p>La chaîne complète s&rsquo;exécute en <strong>moins de 15 minutes</strong> via une seule requête HTTPS non authentifiée.</p>