Le 26 octobre, nous avons présenté les deux failles critiques d'exécution de code à distance de PHP (php2shell). Le même jour, l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté CVE-2026-109618 et CVE-2026-109619 à son catalogue des vulnérabilités exploitées connues (KEV), en invoquant des preuves d'exploitation active. Le 28 octobre, la CISA y a ajouté une faille du noyau Linux, CVE-2026-46300, et sa fiche indique clairement qu'elle peut être enchaînée avec les deux failles PHP pour implanter des webshells PHP et exécuter des commandes en tant que root. Autrement dit, les attaquants obtiennent les privilèges du serveur web grâce à PHP, puis passent root grâce au noyau.

La faille du noyau : corrigée depuis mai, mais beaucoup de serveurs n'ont jamais redémarré

  • Ubuntu appelle CVE-2026-46300 Fragnesia. Lorsque le noyau fusionne des tampons de socket, il peut perdre le marqueur de « fragment partagé », si bien qu'IPsec ESP (ESP-in-TCP) déchiffre sur place des données adossées au cache de pages. Le NVD lui attribue un score CVSS 3.1 de 7,8 (attaque locale) ; Ubuntu la classe en priorité élevée, comme une « élévation de privilèges locale triviale » pouvant aussi permettre de s'échapper d'un conteneur.
  • Elle est publique depuis le 23 mai, et des noyaux corrigés existent depuis des mois : les noyaux génériques d'Ubuntu sont corrigés à partir de 5.15.0-181.191 sur 22.04, 6.8.0-124.124 sur 24.04 et 7.0.0-22.22 sur 26.04 (les mêmes noyaux qui ont corrigé les failles Dirty Frag de mai) ; Debian 12 est corrigé à partir de 6.1.174-1 (DSA-6306-1) et Debian 13 à partir de 6.12.90-1 (DSA-6295-1). Les noyaux propres aux clouds, comme linux-aws, portent d'autres numéros de version : vérifiez le vôtre sur la page CVE d'Ubuntu.
  • Le piège : une mise à jour du noyau ne prend effet qu'après un redémarrage. Les mises à jour automatiques activées par défaut sur Ubuntu installent le nouveau noyau sous 24 heures, mais Ubuntu précise bien qu'un redémarrage reste nécessaire. Un serveur qui n'a pas redémarré depuis des mois tourne très probablement encore sur un noyau vulnérable.

Ce qu'il faut faire maintenant

  • PHP : vérifiez php -v, passez à 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (ou au paquet corrigé de votre distribution), puis redémarrez PHP-FPM ou Apache. Selon la CISA, quiconque utilise encore PHP 8.1 ou une version plus ancienne non prise en charge, ou ne peut pas mettre à jour tout de suite, devrait mettre ces systèmes hors ligne ; un WAF n'offre qu'une protection partielle.
  • Noyau : comparez uname -r aux versions ci-dessus, lancez sudo apt update && sudo apt upgrade, puis sudo reboot. Si vous ne pouvez vraiment pas changer de noyau pour l'instant, la solution provisoire d'Ubuntu consiste à bloquer les modules esp4 et esp6 (des lignes comme install esp4 /bin/false dans /etc/modprobe.d/), mais cela casse les VPN IPsec comme strongSwan.
  • Vérifiez si vous avez déjà été touché : la CISA a indiqué que les deux failles PHP et la faille du noyau exigent une analyse forensique (forensic triage). Ce que la CISA cite en particulier, ce sont les processus worker PHP qui lancent des shells ou téléchargent des outils ; profitez-en pour chercher des fichiers .php ajoutés récemment dans vos répertoires web (surtout les dossiers d'upload), des tâches cron inconnues et des clés SSH que vous ne reconnaissez pas.

Pourquoi corriger les deux en même temps

Corrigez PHP sans le noyau, et la prochaine faille web pourra encore transformer les privilèges du serveur web en accès root ; corrigez le noyau sans PHP, et le site lui-même reste grand ouvert. Ce n'est qu'avec les deux corrections et un redémarrage que cette chaîne d'attaque est coupée. Si vous soupçonnez une compromission, suivez l'enquête et la re-sécurisation d'un VPS compromis ; pour le durcissement de base (pare-feu, connexion par clé uniquement), voir le pare-feu ufw et la connexion par clé SSH ; pour la série de failles du noyau exploitées en septembre, voir cet article ; et avant de réinstaller, assurez-vous que vos sauvegardes sont elles-mêmes saines.