Espionnage en eaux profondes : la CISA sonne le rappel après l’exploitation de failles Linux et VMware

25 pare-feux d’entreprises stratégiques compromis aux États-Unis, en Corée du Sud et au Japon, pendant que des attaquants effacent méthodiquement leurs traces d’administration au cœur des hyperviseurs. Face aux opérations répétées attribuées à des groupes affiliés à l’appareil d’État chinois, l’agence américaine de cybersécurité CISA vient d’ajouter deux vulnérabilités exploitées à son catalogue officiel de référence (KEV).

Cette directive fédérale contraint les agences gouvernementales à colmater sans délai une faille d’initialisation du noyau Linux et une anomalie de journalisation au sein de VMware ESX.

Quand « Fragnesia » et VMware couvrent la fuite des attaquants

Le mode opératoire documenté par les spécialistes du renseignement met en scène une articulation redoutable de faiblesses logicielles. L’accès initial exploite d’abord les failles critiques php2shell (CVE-2026-109618 et CVE-2026-109619), qui affichent un score CVSS de 9,2. Dès que le code malveillant pénètre l’interface web d’administration d’un pare-feu, les assaillants enclenchent la deuxième étape : l’exploitation de la vulnérabilité du noyau Linux surnommée « Fragnesia » (CVE-2026-46300, score CVSS 7,8) pour s’octroyer les privilèges d’administrateur système (root) sur la machine hôte.

C’est à cet instant précis qu’intervient la faille VMware ESX (CVE-2026-41709). Bien que Broadcom ne lui accorde qu’une sévérité modeste évaluée à 2,7, son utilisation sur le terrain se révèle particulièrement pernicieuse :

• Absence de traces dans les journaux : un attaquant ayant usurpé un compte d’administration peut exécuter des commandes sensibles sur l’hyperviseur sans qu’aucun événement ne soit consigné dans les logs d’audit.
• Opérations clandestines prolongées : le groupe d’espionnage surnommé Warp Panda a ainsi maintenu des implants malveillants au sein d’environnements vCenter américains pendant des mois sans éveiller les soupçons des équipes de sécurité.
• Faux sentiment de sécurité : les métriques de gravité habituelles (CVSS) masquent la valeur stratégique des failles de post-exploitation, qui permettent de maintenir la persistance d’une intrusion.

La dette technique européenne dans le viseur

Si les signalements initiaux se sont concentrés sur les réseaux nord-américains et asiatiques, les analystes de menaces d’Intel471 pointent une vulnérabilité accrue du continent européen face à ces méthodes de pénétration, confirme Heise. La persistance de parcs informatiques vieillissants crée un terrain d’action idéal : en Italie par exemple, où les versions obsolètes de PHP 4, 5 et 7 restent massivement en ligne, les accès initiaux vendus sur les marchés cybercriminels découlent à 57 % de failles logicielles non corrigées, contre une moyenne mondiale située à 6,5 %.

L’avertissement de la CISA sonne comme une mise en demeure pour les responsables de centres de données et d’infrastructures virtualisées. Les correctifs pour le noyau Linux et VMware sont documentés et accessibles depuis l’été.