[{"data":1,"prerenderedAt":238},["ShallowReactive",2],{"seo-verification":3,"blog-fragnesia-cve-2026-46300-noyau-linux-php2shell-fr":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-fragnesia-cve-2026-46300-noyau-linux-php2shell-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":165,"ctaBody":166,"ctaButton":167,"ctaUrl":168,"relatedPosts":169},524,"fragnesia-cve-2026-46300-noyau-linux-php2shell",{"fr":10,"en":12,"ar":13,"es":14},"fragnesia-cve-2026-46300-linux-kernel-php2shell","ثغرة-fragnesia-cve-2026-46300-نواة-لينكس-php2shell","fragnesia-cve-2026-46300-kernel-linux-php2shell","Fragnesia CVE-2026-46300 : patcher le noyau (PHP2Shell)","Fragnesia (CVE-2026-46300), enchaînée avec PHP2Shell, mène à root. Noyaux corrigés par distribution, parade esp4\u002Fesp6\u002Frxrpc, vérification et traces.",10,0,false,"2026-10-29T00:00:00+00:00","2026-10-29T15:45:55+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Sécurité & Monitoring","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Ffragnesia-cve-2026-46300-noyau-linux-php2shell-poster.svg","Le 28 octobre 2026, la CISA a ajouté CVE-2026-46300, alias Fragnesia, à son catalogue des vulnérabilités exploitées. La faille du noyau Linux date de mai, son correctif aussi, mais elle redevient urgente : enchaînée avec PHP2Shell, elle transforme un site PHP compromis en serveur entièrement compromis, donc en tous les sites clients qu'il porte. Ce guide donne le moyen de savoir en dix minutes quels serveurs tournent encore sur un noyau vulnérable, la mise à jour par distribution, la parade si le redémarrage doit attendre, et les traces à chercher.",[35,39,48,51,91,94,116,134,137,152,156,159,162],{"type":36,"title":37,"body":38},"h2","Fragnesia en bref : une faille de mai redevenue urgente","Fragnesia est le nom donné à CVE-2026-46300, une faille du noyau Linux divulguée le 13 mai 2026 avec une preuve de concept publique. Le défaut tient en une phrase : la fonction `skb_try_coalesce()` perd le marqueur qui signale un fragment partagé, si bien que le déchiffrement ESP s'exécute en place sur des pages du page cache. Un processus sans privilège peut alors modifier en mémoire un fichier pourtant en lecture seule, comme `\u002Fusr\u002Fbin\u002Fsu`, et obtenir root. Le score CVSS 3 est de 7,8, et Ubuntu classe la faille en priorité High. Les correctifs existent depuis mai : AlmaLinux les a mis en production le 16 mai 2026. Ce qui change fin octobre 2026, c'est le contexte, car la CISA a inscrit la faille à son catalogue des vulnérabilités exploitées le 28 octobre 2026.",{"type":40,"title":41,"items":42},"ul","L'essentiel avant d'ouvrir un terminal",[43,44,45,46,47],"**Local, pas distant** — Fragnesia ne s'attaque pas depuis internet : l'attaquant doit déjà exécuter du code sur la machine. C'est l'étape qui suit une intrusion web.","**Noyau actif, pas noyau installé** — un paquet à jour ne protège rien tant que la machine n'a pas redémarré dessus.","**Des noyaux corrigés existent** — Ubuntu, Debian, AlmaLinux et CloudLinux ont publié leurs versions ; la table plus bas les liste.","**Une parade existe, avec un prix** — bloquer trois modules (esp4, esp6, rxrpc) ferme la voie, mais coupe IPsec et AFS.","**Un pont, pas une solution** — la parade tient jusqu'au redémarrage sur le noyau corrigé, pas au-delà.",{"type":36,"title":49,"body":50},"Pourquoi PHP2Shell change le calendrier","Une élévation de privilèges locale ne se déclenche pas toute seule : il faut d'abord un point d'entrée. Sur un serveur d'agence, il est tout trouvé, c'est un site PHP. PHP2Shell désigne deux failles de l'interpréteur, CVE-2026-109618 et CVE-2026-109619, qui permettent d'exécuter du code sans authentification. Le webshell tourne alors sous le compte du site, sans privilège. Fragnesia est la marche suivante : elle fait passer ce compte à root. La société Dream rapporte avoir observé cette combinaison dans une campagne visant des pare-feu ; c'est le récit d'un seul éditeur, que la CISA ne confirme pas. Côté CISA, CVE-2026-46300 figure au catalogue avec une échéance au 31 octobre 2026 et un triage forensique demandé aux agences américaines. Retenez surtout ceci : corriger PHP ferme l'entrée, pas l'escalade. Un serveur visité avant le correctif PHP reste dangereux tant que son noyau n'est pas à jour. Le guide PHP2Shell lié sous cet article détaille le premier volet.",{"type":52,"title":53,"headers":54,"rows":58},"comparison","Noyaux corrigés par distribution",[55,56,57],"Distribution","Noyau corrigé (ou plus récent)","À savoir",[59,63,67,71,75,79,83,87],[60,61,62],"Ubuntu 22.04 LTS","5.15.0-181.191","`uname -r` affiche 5.15.0-181-generic",[64,65,66],"Ubuntu 24.04 LTS","6.8.0-124.124","`uname -r` affiche 6.8.0-124-generic",[68,69,70],"Ubuntu 25.10 et 26.04 LTS","6.17.0-35.35 et 7.0.0-22.22","Une version par release ; la 26.10 n'est pas affectée",[72,73,74],"Debian 12 (bookworm)","6.1.190-1","Dépôt security ; `uname -v` affiche la version du paquet",[76,77,78],"Debian 13 (trixie)","6.12.113-1","Dépôt security ; même lecture avec `uname -v`",[80,81,82],"AlmaLinux 8, 9 et 10","4.18.0-553.124.3.el8_10 ; 5.14.0-611.54.5.el9_7 ; 6.12.0-124.56.3.el10_1","En production depuis le 16 mai 2026",[84,85,86],"CloudLinux 7h et 8","4.18.0-553.124.3.lve.el7h ; 4.18.0-553.124.3.lve.el8","CloudLinux 9 et 10 reprennent les noyaux AlmaLinux ; vérifier le canal de diffusion",[88,89,90],"Non affectés","Ubuntu 20.04 LTS et antérieures, CloudLinux 7","Rien à corriger sur ces versions",{"type":36,"title":92,"body":93},"Noyau installé n'est pas noyau actif","C'est le piège qui transforme un « tout est à jour » en serveur encore vulnérable. Installer un paquet noyau dépose de nouveaux fichiers dans `\u002Fboot`, mais le noyau en mémoire reste celui du dernier démarrage. Tant que la machine n'a pas redémarré, `apt` ou `dnf` peuvent afficher un système à jour pendant que `uname -r` répond encore avec l'ancien numéro. C'est fréquent sur un parc, pour une raison simple : personne n'aime redémarrer un serveur qui porte des sites clients, donc le redémarrage attend. Deux repères évitent la confusion. Sur Ubuntu, le numéro de la table s'écrit en deux parties : 5.15.0-181.191 correspond à `5.15.0-181-generic` dans `uname -r`. Sur Debian, `uname -r` montre l'ABI du noyau, pas la version du paquet ; c'est `uname -v` qui affiche la version complète, par exemple « Debian 6.1.190-1 ».",{"type":95,"title":96,"steps":97},"steps","Vérifier l'exposition d'un serveur en dix minutes",[98,101,104,107,110,113],{"title":99,"body":100},"Relever le noyau en cours","`uname -r` puis `uname -v`. Notez le résultat machine par machine : c'est la seule valeur qui compte, pas celle du gestionnaire de paquets. Comparez-la à la table ci-dessus.",{"title":102,"body":103},"Lister les noyaux installés","Debian et Ubuntu : `dpkg -l 'linux-image*'`. AlmaLinux et CloudLinux : `rpm -q kernel`. Si un noyau corrigé est installé mais que `uname -r` affiche un autre numéro, le serveur n'a pas redémarré : il est exposé.",{"title":105,"body":106},"Repérer les redémarrages en attente","Sur AlmaLinux et CloudLinux, `sudo needs-restarting -r` indique si un redémarrage est nécessaire. Sur Ubuntu, la présence du fichier `\u002Fvar\u002Frun\u002Freboot-required` signale la même chose.",{"title":108,"body":109},"Regarder les modules concernés","`lsmod | grep -E 'esp4|esp6|rxrpc'`. Un résultat vide ne rend pas le serveur sûr : un module absent peut se charger à la demande. Il dit seulement qu'il n'est pas chargé à cet instant.",{"title":111,"body":112},"Vérifier rxrpc sur AlmaLinux 9 et 10","`rpm -q kernel-modules-partner`. Sur ces deux versions, le module rxrpc n'est exposé que si ce paquet est installé ; AlmaLinux 8 ne construit pas ce module.",{"title":114,"body":115},"Repérer les passerelles VPN","`systemctl list-units | grep -Ei 'strongswan|libreswan|ipsec'`. Dressez la liste des machines qui terminent ou font transiter des tunnels IPsec, ou qui utilisent AFS : la parade plus bas leur est contre-indiquée.",{"type":95,"title":117,"steps":118},"Mettre à jour le noyau, par environnement",[119,122,125,128,131],{"title":120,"body":121},"Debian et Ubuntu","`sudo apt update && sudo apt full-upgrade` puis `sudo reboot`. On utilise `full-upgrade` parce qu'un nouveau noyau arrive comme un nouveau paquet, que `upgrade` seul peut laisser de côté.",{"title":123,"body":124},"AlmaLinux et autres RHEL","`sudo dnf clean metadata && sudo dnf upgrade` puis `sudo reboot`. Après le redémarrage, `rpm -q kernel` doit lister un noyau au moins égal à celui de la table.",{"title":126,"body":127},"CloudLinux","Sur CloudLinux 9 et 10, les noyaux d'AlmaLinux s'appliquent : même commande qu'au-dessus. Sur CloudLinux 7h et 8, le noyau corrigé est un noyau CloudLinux diffusé par canal ; l'article de CloudLinux, lié en fin de page, dit si votre canal le propose. Ensuite `sudo yum update 'kernel*'`, puis `sudo reboot`.",{"title":129,"body":130},"Conteneurs Docker","Un conteneur n'a pas de noyau propre : il utilise celui de l'hôte. Reconstruire une image ne corrige rien ici, alors que mettre à jour l'hôte puis le redémarrer protège tous ses conteneurs d'un coup. Ubuntu mentionne aussi une évasion de conteneur possible : ne repoussez pas ce point. Les images PHP à reconstruire pour PHP2Shell relèvent d'un autre guide.",{"title":132,"body":133},"Contrôler après le redémarrage","`uname -r` (et `uname -v` sous Debian) doit afficher un numéro égal ou supérieur à celui de la table. Lancez ensuite `sudo systemctl --failed` pour repérer les services qui n'ont pas repris.",{"type":36,"title":135,"body":136},"Parade ou noyau : l'arbitrage selon le rôle du serveur","Redémarrer coupe les sites, et l'objection est légitime. La parade existe pour cela : elle bloque le chargement de esp4, esp6 et rxrpc, les trois modules par lesquels passe la faille, sans redémarrage. Son prix est précis. ESP est le protocole de chiffrement d'IPsec et rxrpc sert AFS ; si le serveur termine ou fait transiter des tunnels IPsec (strongSwan, Libreswan) ou monte de l'AFS, la parade les casse, et AlmaLinux l'écrit sans détour. Règle simple : sur un serveur web sans VPN, parade tout de suite puis noyau au prochain créneau ; sur une passerelle VPN, noyau corrigé sur un créneau de redémarrage, sans parade. Dans les deux cas, la parade n'est qu'un pont jusqu'au redémarrage sur le noyau corrigé. AlmaLinux précise aussi que la parade publiée pour Dirty Frag couvre déjà Fragnesia : si elle est en place, il n'y a rien à ajouter.",{"type":95,"title":138,"steps":139},"Appliquer la parade, la vérifier, l'annuler",[140,143,146,149],{"title":141,"body":142},"Écrire le fichier et décharger les modules","`sudo sh -c \"printf 'install esp4 \u002Fbin\u002Ffalse\\ninstall esp6 \u002Fbin\u002Ffalse\\ninstall rxrpc \u002Fbin\u002Ffalse\\n' > \u002Fetc\u002Fmodprobe.d\u002Ffragnesia.conf; rmmod esp4 esp6 rxrpc 2>\u002Fdev\u002Fnull; true\"`\nLa commande crée `\u002Fetc\u002Fmodprobe.d\u002Ffragnesia.conf`, qui interdit le chargement des trois modules, puis décharge ceux qui l'étaient.",{"title":144,"body":145},"Vérifier","`lsmod | grep -E 'esp4|esp6|rxrpc'` ne doit rien renvoyer. La parade survit au redémarrage tant que le fichier existe.",{"title":147,"body":148},"Vider le page cache si la machine a pu être visée","`sudo sh -c \"echo 3 > \u002Fproc\u002Fsys\u002Fvm\u002Fdrop_caches\"`. Les binaires sont rechargés depuis le disque. Si vous voulez conserver des preuves, faites d'abord les contrôles de la section suivante.",{"title":150,"body":151},"Annuler la parade","Une fois la machine redémarrée sur le noyau corrigé : `sudo rm \u002Fetc\u002Fmodprobe.d\u002Ffragnesia.conf`. Si une parade Dirty Frag était déjà posée sous un autre nom de fichier, elle suit son propre cycle.",{"type":153,"title":154,"body":155},"tip","KernelCare, pour les serveurs qu'on ne peut pas redémarrer","Si le serveur utilise KernelCare (correctif à chaud du noyau), `kcarectl --update` applique le correctif sans redémarrage, et `kcarectl --patch-info | grep CVE-2026-46300` confirme sa présence. CloudLinux indique un déploiement complet pour les variantes AlmaLinux ELS et FIPS, la famille EL8, Debian 11 et 12 et Ubuntu Jammy, sans citer explicitement CloudLinux 9 et 10 standard. Ne généralisez pas : vérifiez par distribution, et si la commande ne renvoie rien, retombez sur la parade ou sur le noyau.",{"type":36,"title":157,"body":158},"Chercher les traces avant de redémarrer","Un serveur patché depuis mai n'est pas concerné ; un serveur jamais redémarré l'est, et s'il a porté un site PHP vulnérable, il a pu être visité. L'altération se fait dans le page cache : elle n'écrit pas forcément sur disque, et un redémarrage ou `drop_caches` l'efface. Faites donc vos contrôles d'abord. Trois pistes. Les fichiers `.php` récents sous les racines web : `sudo find \u002Fvar\u002Fwww \u002Fhome -name '*.php' -mtime -7 -type f`, à adapter à vos chemins. Les binaires setuid inattendus : `sudo find \u002F -xdev -perm -4000 -type f -mtime -30`. L'intégrité des paquets : `rpm -V util-linux` sur la famille RHEL, `sudo debsums -s util-linux` sur Debian et Ubuntu après `apt install debsums` ; le paquet util-linux fournit `\u002Fusr\u002Fbin\u002Fsu`, la cible citée par AlmaLinux. Un résultat suspect ne se nettoie pas à la main : isolez la machine et traitez-la comme compromise.",{"type":36,"title":160,"body":161},"Pour une agence : un créneau commun, pas un serveur à la fois","Le temps ne se perd pas dans la commande, mais à savoir quelle machine porte quels clients, laquelle est une passerelle VPN et quand elle peut redémarrer. Établissez un tableau par serveur : noyau en cours, noyau installé, rôle (web, VPN, base de données), parade posée ou non. Triez ensuite en trois lots : les serveurs web simples, parade immédiate puis noyau au créneau ; les passerelles, noyau au créneau sans parade ; les machines déjà à jour, simple contrôle du noyau en cours. Prévenez les clients une seule fois, sur un créneau commun, plutôt que machine par machine. La méthode de redémarrage d'un VPS qui porte des sites clients est détaillée dans le guide PwnEscape et Vghost lié sous cet article, inutile de la répéter ici. Ce guide est fourni tel quel : l'administration de vos serveurs reste de votre ressort, sans prise en charge de notre part.",{"type":36,"title":163,"body":164},"La documentation officielle","Fiche Ubuntu de CVE-2026-46300: https:\u002F\u002Fubuntu.com\u002Fsecurity\u002FCVE-2026-46300\n\nSuivi de sécurité Debian: https:\u002F\u002Fsecurity-tracker.debian.org\u002Ftracker\u002FCVE-2026-46300\n\nAvis AlmaLinux sur Fragnesia: https:\u002F\u002Falmalinux.org\u002Fblog\u002F2026-05-13-fragnesia-cve-2026-46300\u002F\n\nArticle CloudLinux (noyaux et KernelCare): https:\u002F\u002Fblog.cloudlinux.com\u002Ffragnesia-mitigation-and-kernel-update\n\nAlerte CISA du 28 octobre 2026: https:\u002F\u002Fwww.cisa.gov\u002Fnews-events\u002Falerts\u002F2026\u002F10\u002F28\u002Fcisa-adds-two-known-exploited-vulnerabilities-catalog\n\nCompte rendu SecurityWeek sur la chaîne PHP2Shell: https:\u002F\u002Fwww.securityweek.com\u002Fchina-linked-hackers-exploit-php2shell-to-root-firewalls\u002F\n\nCorrectif amont dans le noyau: https:\u002F\u002Fgit.kernel.org\u002Flinus\u002Ff84eca5817390257cef78013d0112481c503b4a3","Un parc de sites à patcher sur un seul créneau","Un parc de sites clients se patche mieux quand les machines sont regroupées et visibles d'un seul endroit : un créneau commun, un tableau unique. La relation client reste chez l'agence, l'infrastructure chez ServOrbit.com.","Découvrir l'offre agences","\u002Fsolutions\u002Fagences",[170,186,203,222],{"id":171,"slug":172,"slugs":173,"title":177,"excerpt":178,"readTime":179,"views":18,"isPinned":19,"publishedAt":180,"updatedAt":181,"category":182,"categories":183,"featuredImage":30,"bgImage":31,"posterImage":185,"relatedSolution":30},517,"pwnescape-vghost-noyau-linux-vps-mettre-a-jour",{"fr":172,"en":174,"ar":175,"es":176},"pwnescape-vghost-linux-kernel-vps-update","ثغرتا-pwnescape-و-vghost-تحديث-نواة-لينكس-على-vps","pwnescape-vghost-kernel-linux-vps-actualizar","PwnEscape et Vghost : mettre à jour le noyau Linux d'un VPS","Deux failles noyau Linux d'octobre 2026 : PwnEscape se corrige chez l'hébergeur, Vghost sur votre VPS. Vérifier le noyau, mettre à jour, planifier le redémarrage.",11,"2026-10-28T00:00:00+00:00","2026-10-29T03:10:22+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[184],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fpwnescape-vghost-noyau-linux-vps-mettre-a-jour-poster.svg",{"id":187,"slug":188,"slugs":189,"title":193,"excerpt":194,"readTime":195,"views":196,"isPinned":19,"publishedAt":197,"updatedAt":198,"category":199,"categories":200,"featuredImage":30,"bgImage":31,"posterImage":202,"relatedSolution":30},489,"php2shell-cve-2026-109618-109619-mettre-a-jour-php",{"fr":188,"en":190,"ar":191,"es":192},"php2shell-cve-2026-109618-109619-patch-php","php2shell-cve-2026-109618-109619-تحديث-php","php2shell-cve-2026-109618-109619-actualizar-php","PHP2Shell : corriger CVE-2026-109618 et CVE-2026-109619","PHP2Shell : deux failles critiques de PHP exploitables sans compte. Versions corrigées, commandes de mise à jour par système et parades temporaires.",16,1,"2026-10-22T00:00:00+00:00","2026-10-27T23:58:43+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[201],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fphp2shell-cve-2026-109618-109619-mettre-a-jour-php-poster.svg",{"id":204,"slug":205,"slugs":206,"title":210,"excerpt":211,"readTime":212,"views":18,"isPinned":19,"publishedAt":213,"updatedAt":214,"category":215,"categories":216,"featuredImage":30,"bgImage":31,"posterImage":218,"relatedSolution":219},501,"php2shell-docker-wordpress-reconstruire-images-php",{"fr":205,"en":207,"ar":208,"es":209},"php2shell-docker-rebuild-php-wordpress-images","php2shell-docker-إعادة-بناء-صور-php-ووردبريس","php2shell-docker-reconstruir-imagenes-php-wordpress","PHP2Shell et Docker : reconstruire vos images PHP et WordPress","WordPress ou Laravel à jour ne change pas le PHP de l'image Docker. Prouvez la version servie, repérez les tags qui ont bougé et reconstruisez sans piège.",12,"2026-10-23T00:00:00+00:00","2026-10-23T23:43:01+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[217],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fphp2shell-docker-wordpress-reconstruire-images-php-poster.svg",{"categorySlug":220,"appSlug":221},"cms","wordpress",{"id":223,"slug":224,"slugs":225,"title":229,"excerpt":230,"readTime":17,"views":231,"isPinned":19,"publishedAt":232,"updatedAt":233,"category":234,"categories":235,"featuredImage":30,"bgImage":31,"posterImage":237,"relatedSolution":30},382,"securite-vps-mises-a-jour-automatiques-debian-ubuntu",{"fr":224,"en":226,"ar":227,"es":228},"vps-automatic-security-updates-debian-ubuntu","تحديثات-أمان-تلقائية-vps-debian-ubuntu","actualizaciones-seguridad-vps-debian-ubuntu","Mises à jour de sécurité automatiques sur VPS Debian\u002FUbuntu","Configurez unattended-upgrades sur vos VPS Debian\u002FUbuntu pour automatiser les patches de sécurité et réduire la surface d'attaque de votre parc client.",2,"2026-09-26T00:00:00+00:00","2026-09-29T14:40:42+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[236],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fsecurite-vps-mises-a-jour-automatiques-debian-ubuntu-poster.svg",1793289126737]