VMware ESX et noyau Linux : la CISA signale des attaques contre CVE-2026-41709 et Fragnesia

L’agence américaine CISA a ajouté, le 28 octobre 2026, deux vulnérabilités à son catalogue des failles activement exploitées (Known Exploited Vulnerabilities, KEV) : CVE-2026-41709 dans VMware ESX et CVE-2026-46300 dans le noyau Linux, connue sous le nom de Fragnesia. Des mises à jour sont disponibles pour les deux depuis des mois. Des attaquants ont exploité ces deux vulnérabilités dans un but précis, bien qu’elles soient évaluées respectivement faible et élevée, mais non critique : l’une pour éviter de laisser des traces, l’autre pour obtenir les privilèges root après un accès initial.

CVE-2026-41709 : ESX ne journalise pas toutes les opérations

Broadcom a publié la vulnérabilité le 29 juillet 2026 dans l’avis VMSA-2026-0006, avec plusieurs vulnérabilités critiques dans ESX, vCenter, Workstation et Fusion. Selon l’avis, un administrateur malveillant peut effectuer certaines opérations sur l’hôte ESX sans qu’elles soient journalisées. Broadcom lui attribue un score CVSS de 2.7, donc faible, car l’attaquant doit déjà disposer de droits d’administrateur. Il n’existe pas de solution de contournement.

Cette faible évaluation décrit la vulnérabilité de manière isolée. Dans une attaque, elle a une autre fonction : une personne qui contrôle déjà l’environnement de virtualisation peut exécuter des commandes qui manqueront lors de l’investigation forensique ultérieure. CrowdStrike indique dans son Legal Threat Landscape Report 2026 que le groupe Warp Panda, attribué à la Chine, a placé des logiciels malveillants dans des environnements vCenter lors d’intrusions dans des organisations américaines, notamment des cabinets d’avocats, et a exploité CVE-2026-41709 comme zero-day dans plusieurs cas, le plus récemment au début de 2026. La vulnérabilité a donc été exploitée plusieurs mois avant le correctif.

Versions corrigées selon Broadcom :

La version installée et le build d’un hôte sont affichés par le shell ESX :

esxcli system version get

Pour l’évaluation d’un incident potentiel, cela signifie que les journaux locaux des hôtes ESX compromis avant la mise à jour ne sont pas complets. Une comparaison avec des Sources externes (événements vCenter, journaux réseau et de pare-feu, journaux du logiciel de sauvegarde) est alors plus probante que le seul journal de l’hôte.

CVE-2026-46300 (Fragnesia) : root via le Page Cache

Fragnesia est une variante de la vulnérabilité Dirty Frag et se situe dans le sous-système XFRM-ESP du noyau, plus précisément dans ESP-in-TCP (IPsec sur TCP). Un utilisateur local sans privilèges obtient ainsi un accès en écriture au Page Cache et peut modifier le contenu mis en cache de fichiers qu’il est uniquement autorisé à lire. L’exploit public modifie ainsi /usr/bin/su et lance un shell root. William Bowling de Zellic a publié la vulnérabilité le 13 mai 2026 avec un exploit et un correctif ; Microsoft a averti peu après. Red Hat lui attribue un score CVSS de 7.8. Les correctifs de Dirty Frag ne résolvent pas Fragnesia : un correctif spécifique du noyau est nécessaire.

Les grandes distributions fournissent des noyaux corrigés via les mises à jour habituelles, par exemple AlmaLinux 8 à partir de kernel-4.18.0-553.124.2.el8_10, AlmaLinux 9 à partir de kernel-5.14.0-611.54.4.el9_7 et Ubuntu 20.04 à partir de 5.15.0-181.191~20.04.1. Pour les autres distributions, il convient de se référer à l’avis correspondant ; Ubuntu souligne que, dans le cas des rétroportages, le seul numéro de version est peu révélateur.

La commande suivante indique si les modules concernés sont chargés :

lsmod | grep -E '^(esp4|esp6|rxrpc) '

Jusqu’à l’installation d’un noyau corrigé, il est possible de décharger les modules et d’empêcher leur rechargement. Cela n’est possible que si le système n’a pas besoin d’IPsec :

rmmod esp4 esp6 rxrpc
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf

La chaîne d’attaque via php2shell

Dream Research décrit l’utilisation pratique de Fragnesia dans une analyse du 26 octobre 2026. Entre le 8 et le 24 octobre, un attaquant a compromis 25 serveurs pare-feu aux États-Unis, au Japon, à Taïwan et en Corée du Sud. Dream ne nomme pas le fabricant. La chaîne se composait de deux étapes dans une seule requête HTTP :

1. Accès initial via php2shell : les deux vulnérabilités PHP CVE-2026-109618 et CVE-2026-109619 permettent l’exécution de code sur le serveur web de gestion du pare-feu, dans le cas décrit sous l’utilisateur nobody.
2. Élévation de privilèges via Fragnesia : SELinux empêchait le processus du serveur web de modifier des fichiers système. L’attaquant a donc écrasé, via le Page Cache, /etc/pam.d/su avec pam_permit.so et a obtenu les privilèges root sans mot de passe avec su.

Sur un pare-feu de l’organisation ciblée, l’attaquant a ensuite établi un tunnel SSH inversé persistant, compromis le serveur de gestion interne, déchiffré le mot de passe du compte de service LDAP et attaqué Active Directory. Les 22 autres pare-feu sont restés équipés d’un webshell. Dream attribue la campagne à un acteur lié à la Chine et voit des indices d’un développement assisté par IA des quelque 40 scripts, sans preuve directe.

Une élévation locale de privilèges est donc également pertinente sur les appliances : une application web avec des droits limités suffit comme point de départ si le noyau n’est pas corrigé.

php2shell et PAN-OS

PHP a corrigé les vulnérabilités php2shell le 21 octobre 2026 (PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35) ; la CISA répertorie les deux dans le catalogue KEV depuis le 26 octobre. Palo Alto Networks signale des attaques actives contre l’interface web de gestion de PAN-OS via ces vulnérabilités (avis CVE-2026-109618, CVSS 4.0 9.2). Les pare-feu PA-Series et VM-Series ainsi que Panorama sont concernés ; selon le fabricant, GlobalProtect et Captive Portal ne sont pas affectés. Des correctifs à chaud sont disponibles pour les versions prises en charge 10.2 à 12.2 ; pour 11.1.7-h12, l’avis mentionne le 30 octobre 2026. Le risque est maximal lorsque l’interface de gestion est accessible depuis Internet ; Palo Alto recommande de limiter l’accès aux adresses internes de confiance.

Ce qu’il faut faire maintenant

1. Mettre les hôtes ESX à jour vers les versions corrigées de VMSA-2026-0006. L’avis corrige en même temps les vulnérabilités critiques CVE-2026-59309, CVE-2026-59310 et CVE-2026-47876.
2. Mettre les systèmes Linux à jour vers un noyau intégrant le correctif Fragnesia et les redémarrer. Cela concerne également les appliances basées sur Linux, pour lesquelles le fabricant doit fournir sa propre mise à jour.
3. Mettre PHP à jour vers les versions du 21 octobre 2026 ou un rétroportage de distribution ; pour PAN-OS, installer les correctifs à chaud de l’avis.
4. Ne pas rendre les interfaces de gestion des pare-feu, hyperviseurs et vCenter accessibles depuis Internet.
5. En cas de suspicion de compromission d’hôtes ESX, comparer les journaux avec des Sources externes, car le journal de l’hôte peut être incomplet avant la mise à jour.