Ep.787 - PHP2Shell, Fragnesia - Spécial du dimanche 1er novembre 2026

🐛 Canonical a publié le 21 octobre les correctifs de PHP2Shell, la CVE-2026-109618 et la CVE-2026-109619, qui permettent une exécution de code à distance sans authentification sur toute application PHP, avec un score CVSS 4.0 de 9,2, par la technique T1190, exploitation d'une application exposée sur Internet. Une fuite a avancé la divulgation d'un jour, et la CISA a inscrit les deux failles au catalogue KEV le 26 octobre. Ubuntu a corrigé toutes ses versions supportées, de la 14.04 à la 26.10, dont php8.3 8.3.6-0ubuntu0.24.04.13 en 24.04, php8.1 8.1.2-1ubuntu2.28 en 22.04 et php8.5 8.5.4-0ubuntu1.5 en 26.04. Canonical a précisé que les services qui chargent PHP, comme Apache avec mod_php, doivent être redémarrés après la mise à jour.

🛡️ Selon SecurityWeek, la société Dream a observé un acteur lié à la Chine qui a enchaîné PHP2Shell et Fragnesia, la CVE-2026-46300, élévation de privilèges du noyau Linux (technique T1068), pour déposer un web shell PHP sous root sur 24 pare-feu d'un éditeur non nommé, les 23 et 24 octobre. Sur deux serveurs liés au gouvernement américain, l'attaquant a atteint le serveur de gestion par un tunnel SSH inverse, récupéré les configurations, déchiffré le compte de service LDAP et tenté du password spray. Selon Tenable, Fragnesia corrompt le page cache par le sous-système XFRM ESP-in-TCP, a été divulguée en mai par William Bowling (V12 Security) avec un PoC public, et se contourne par le blocage des modules esp4, esp6 et rxrpc. La CISA a inscrit Fragnesia au catalogue KEV le 28 octobre.

🐛 Node.js a publié le 21 octobre les versions 22.23.4, 24.22.1 et 26.12.1, qui corrigent dix failles, dont la CVE-2026-111497, Node2Shell, écriture hors limites dans le décodeur Brotli (CWE-787), avec un score CVSS de 9,2 selon Akamai. Express 5 et body-parser 2 décompressent par défaut les corps de requête Brotli, et la fonction fetch décompresse les réponses ; Akamai indique qu'aucun contournement n'existe, hors désactivation de l'option inflate. Selon The Hacker News, Imperva a exécuté du code sur Node.js 24.22.0 et une requête piégée a atteint les capteurs d'ELLIO le 26 octobre sans succès. La CISA a inscrit la faille du décodeur Google Brotli au catalogue KEV le 27 octobre ; les branches en fin de vie, dont la 20, ne reçoivent pas de correctif.

📝 WordPress a publié le 28 octobre la version 7.1.4, qui corrige 22 vulnérabilités selon Wordfence, dont la CVE-2026-119977, avec un score CVSS de 8,1 : une exécution de code à distance sans authentification par race condition pendant la mise à jour du cœur, via l'installeur copié dans wp-content/upgrade. Toutes les versions de 4.7 à 7.1.3 étaient touchées, et le correctif a été rétroporté sur toutes les branches, jusqu'à la 4.7.39. Wordfence a relevé plus de 18 500 requêtes contre les chemins de l'installeur en 21 heures, le premier blocage neuf minutes après le déploiement de sa règle. Les autres failles comprennent des cross-site scripting stockés, une prototype pollution dans l'Interactivity API, une fuite d'informations sur les changesets du Customizer et une faiblesse d'autorisation dans l'API REST des notes.

💧 Le CERT Santé a signalé le 30 octobre la CVE-2026-108097 dans le module Field UI de Drupal core, CWE-470, réflexion non sécurisée, qui mène à une exécution de code à distance via des modules contribués, dont une voie sans authentification. Toutes les versions depuis la 8.9.0 sont touchées ; les versions corrigées sont 10.6.19, 11.3.19, 11.4.10 et 12.0.0-beta2. Aucune exploitation ni aucun PoC n'étaient connus à la date de l'alerte. Le contournement consiste à désinstaller le module field_ui, et Drupal Steward ne bloque que certaines voies d'attaque.

🦊 La CVE-2026-97229 dans GitLab CE et EE permet une exécution de code à distance sans authentification via une expression régulière forgée dans une configuration CI/CD ; la CISA l'a classée comme dépassement d'entier. Selon l'avis MS-ISAC 2026-123 du CIS, l'instance GitLab d'Alpine Linux a subi des tentatives d'exploitation les 20 et 21 octobre, et la CISA a inscrit la faille au catalogue KEV le 29 octobre. Les versions corrigées sont 19.2.8, 19.3.5 et 19.4.2. Les sources n'ont donné ni score CVSS ni PoC public.

🔓 La CVE-2026-76418 fait redémarrer Cisco Secure Firewall ASA et FTD par une requête non authentifiée sur le VPN SSL d'accès distant, lorsqu'une authentification secondaire est configurée sur un tunnel group ; la CISA l'a décrite comme une valeur de retour non vérifiée qui mène à un déréférencement de pointeur nul. Exploitée activement selon l'avis MS-ISAC 2026-124 du CIS, elle a été inscrite au catalogue KEV le 29 octobre ; aucun contournement n'existe, et l'avis de Cisco décrit une mitigation temporaire. Les versions corrigées sont ASA 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 ou 9.24.10.1, et FTD 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 et 10.1.1.

🚨 La CISA a inscrit au catalogue KEV, le 27 octobre, la CVE-2026-48356, téléversement de fichier dangereux (CWE-434) dans Adobe Commerce et Magento Open Source, avec un score CVSS de 9,6, corrigée par le bulletin Adobe APSB26-73 de juillet. Le 28 octobre, elle a ajouté la CVE-2026-41709, journalisation insuffisante dans Broadcom VMware ESX. Le 23 octobre, elle avait inscrit la CVE-2026-114625, injection SQL dans Arista VeloCloud Orchestrator, et la CVE-2026-110447, injection de commandes système dans Collabora Online, sur le serveur CODE intégré. Pour ESX, Arista et Collabora, les bulletins de la CISA ne donnent que l'intitulé de la faille ; les versions corrigées figurent dans les avis des éditeurs.

🐧 Selon Linux Magazine, qui a relayé Sysdig, un exploit root est devenu