Découverte et portée
Le 25 octobre 2026, l’équipe Dream a identifié une campagne attribuée à des acteurs chinois qui a compromis 25 firewalls Palo Alto Networks exécutant PAN‑OS. Les cibles incluent des serveurs aux États‑Unis, au Japon, à Taïwan et en Corée du Sud, dont trois appartiennent à une infrastructure gouvernementale américaine. Les appareils affectés utilisent le serveur de gestion web (appweb) exposé à Internet, qui sert également de portail GlobalProtect.
Mécanisme d’exploitation
Le premier maillon repose sur deux vulnérabilités PHP2Shell (CVE‑2026‑109618 et CVE‑2026‑109619). Elles exploitent le mécanisme session.upload_progress de PHP 8.0.30, dont la limite de mémoire élevée (≈383 Mo) permet de forcer un état de mémoire prévisible. La chaîne se déroule en quatre étapes : épuisement de mémoire, fuite d’adresse via l’en‑tête Set‑Cookie, création d’une référence obsolète et injection d’une entrée de HashTable pointant vers zif_system. Le destructeur invoqué exécute une commande shell sous l’utilisateur nobody.
Chaînage avec l’escalade kernel
Le second maillon, nommé Fragnesia (CVE‑2026‑46300), cible le sous‑système XFRM ESP‑in‑TCP du noyau Linux. En écrivant directement dans le cache de pages, l’attaquant remplace le fichier /etc/pam.d/su par une version contenant pam_permit.so, autorisant su à obtenir les privilèges root sans mot de passe. Le remplacement se fait byte‑par‑byte grâce à un splicing précis, le fichier ne mesurant que 774 octets. Les deux exploits s’exécutent dans une même requête HTTP B2, réduisant le temps total d’infection à moins de quinze minutes.
Implications et limites
Le succès repose sur des profils de version détaillés : onze fichiers JSON décrivent les offsets de libphp.so pour chaque version de PAN‑OS testée, incluant les hachages SHA‑256 et les paramètres de géométrie mémoire. Les profils « calibrés » ont été validés sur des VM, tandis que les profils « provisoires » sont dérivés de l’analyse binaire sans validation pratique. Cette granularité montre que l’opération nécessite une connaissance fine du binaire cible, limitant la portée à des versions précisément identifiées.
Des outils d’IA ont été repérés dans l’infrastructure : le modèle Claude Code, la plateforme offensive aiscan alimentée par les LLM chinois DeepSeek et Kimi, ainsi que des clés API FOFA. Bien que le code et les commentaires suggèrent une assistance IA, aucune preuve directe ne lie ces outils à la rédaction du code d’exploitation.
Pour les défenseurs, la leçon principale réside dans la sécurisation du point d’accès de gestion. Même en l’absence d’authentification, une interface exposée peut servir de passerelle vers l’infrastructure d’identité d’une organisation. La mise à jour rapide des versions PAN‑OS, la restriction d’accès au portail de gestion et la surveillance des modèles de trafic HTTP multipart sont des mesures immédiates pour réduire le risque.
