Des hackers présumés liés à la Chine ont compromis un réseau affilié au gouvernement américain en exploitant les vulnérabilités PHP nouvellement révélées, selon la société de cybersécurité Dream. L’attaque démontre comment de multiples failles de sécurité peuvent être combinées pour contourner les défenses réseau et accéder à des systèmes internes sensibles.
Les chercheurs ont découvert l’intrusion le 25 octobre 2026, peu après que deux vulnérabilités critiques de PHP, collectivement connues sous le nom de PHP2Shell, soient devenues publiques. Les failles, identifiées sous les sigles CVE-2026-109618 et CVE-2026-109619, présentent chacune un score de gravité de 9,2 sur 10 et peuvent potentiellement permettre aux attaquants d’exécuter du code malveillant sans authentification.
Les attaquants auraient combiné PHP2Shell avec une vulnérabilité d’escalade de privilèges du noyau Linux appelée Fragnesia, suivie sous le nom CVE-2026-046300. Cette approche en deux étapes leur a permis d’obtenir un accès racine à des appliances de pare-feu vulnérables.
Dream’s investigation revealed que la campagne avait commencé par une reconnaissance approfondie. Les assaillants ont scanné environ 19 000 pare-feux connectés à Internet à travers les États-Unis, le Japon, Taïwan et la Corée du Sud, identifiant environ 240 dispositifs vulnérables. Parmi eux, 24 auraient été compromis.
L’opération a ensuite atteint un serveur interne de gestion de pare-feu appartenant à une organisation non identifiée affiliée au gouvernement américain. Les chercheurs ont trouvé des preuves que les attaquants avaient obtenu des identifiants Active Directory, permettant potentiellement de nouveaux déplacements dans le réseau.
D’autres activités comprenaient l’énumération des comptes utilisateurs, la tentative de mots de passe sur plusieurs comptes et la tentative d’établir des mécanismes d’accès cachés. Les attaquants ont également recherché des clés de signature cryptographiques, bien que les enquêteurs n’aient pas pu confirmer si ces tentatives ultérieures avaient réussi.
Malgré cette intrusion réussie, exploiter ces vulnérabilités était techniquement difficile. Dream a rapporté que même dans des conditions favorables, environ 10 % des tentatives d’exploitation réussissaient, en partie parce que les défauts PHP nécessitaient des décalages mémoire précis spécifiques aux versions logicielles ciblées.
Les chercheurs ont également découvert des signes d’activités assistées par l’intelligence artificielle. L’environnement récupéré comprenait des installations de Claude Code et des outils de sécurité configurés pour utiliser des modèles d’IA chinois, notamment DeepSeek et Kimi. Cependant, les résultats ne permettent pas d’établir précisément dans quelle mesure l’IA a contribué aux attaques.
Dream soupçonne une implication chinoise en se basant sur des artefacts linguistiques, le calendrier opérationnel et la répartition géographique des cibles. Néanmoins, la société n’a pas identifié de groupe de piratage spécifique, et le parrainage d’État reste non confirmé.
L’incident intervient dans un contexte d’exploitation généralisée de PHP2Shell. La société de numérisation Internet Censys a identifié environ 32,5 millions de services PHP fonctionnant sous des versions potentiellement vulnérables, dont 10,3 millions aux États-Unis.