Fragnesia CVE-2026-46300: nucleul Linux, lanț cu PHP2Shell
Pe 28 octombrie 2026, CISA a adăugat în KEV CVE-2026-46300, un defect din nucleul Linux cunoscut ca „Fragnesia”, cu termen federal de doar trei zile, 31 octombrie. Intrarea KEV spune că vulnerabilitatea poate fi înlănțuită cu CVE-2026-109618 și CVE-2026-109619 (PHP2Shell) pentru a planta webshell-uri PHP și a rula comenzi ca root. Fragnesia este o escaladare locală de privilegii, iar corecția există din 13 mai.
Lanțul explică de ce două defecte care, fiecare, par incomplete devin o problemă comună: PHP2Shell dă execuție de cod cu drepturile serverului web, iar o escaladare locală o transformă în root. Mai jos separăm ce afirmă CISA de ce rămâne neconfirmat, și ce verifici pe serverele Linux care rulează PHP.
Ce afirmă CISA
Intrarea KEV pentru CVE-2026-46300, citită direct în feed-ul CISA, descrie o variabilă neinițializată în nucleul Linux care poate duce la modificarea neintenționată a datelor susținute de cache-ul de pagini: la unirea buffer-elor de socket, nu se păstrează marcajul de fragment partajat, iar procesarea de intrare ESP decriptează fragmente partajate pe loc. Descrierea spune că vulnerabilitatea poate fi înlănțuită cu cele două CVE-uri PHP2Shell pentru a planta webshell-uri PHP și a rula comenzi ca root. Termenul este 31 octombrie, utilizarea de ransomware figurează ca „necunoscută”, iar câmpul de triaj criminalistic este „Yes”: acțiunea cerută trimite la cerințele de triaj din BOD 26-04, nu doar la patch.
Textul alertei CISA din 28 octombrie nu menționează lanțul; afirmația este în intrarea din catalog. Nu am găsit un raport independent care să descrie exploatarea lanțului în lume, deci tratează-l ca declarația CISA, nu ca incident documentat public.
Ce este Fragnesia
Potrivit Tenable (14 mai), Fragnesia este o escaladare locală de privilegii în subsistemul XFRM ESP-in-TCP, dezvăluită pe 13 mai 2026 de William Bowling de la V12 Security. Exploitul funcționează determinist, fără condiție de cursă, iar un PoC public a apărut pe GitHub odată cu dezvăluirea. CVSS 7,8 este o estimare. În mai nu era raportată exploatare în lume.
Este de aceeași clasă cu Dirty Frag (CVE-2026-43284 și CVE-2026-43500), dar patch-urile Dirty Frag nu o repară: e nevoie de o corecție separată. AWS notează că Amazon Linux și Bottlerocket nu livrează modulul espintcp și nu sunt afectate. Red Hat a livrat o corecție de nucleu pentru RHEL 9 pe 20 mai (RHSA-2026:19568, kernel-5.14.0-687.10.1.el9_8), cu repornire obligatorie.
Ce nu se știe sau diferă
Articolul Tenable din mai nu dă intervalele exacte de versiuni de nucleu afectate. Starea distribuțiilor la 14 mai (Ubuntu, Debian, Red Hat Enterprise Linux, openSUSE, CentOS Stream și Gentoo vulnerabile; AlmaLinux și Fedora corectate; Amazon Linux neafectat) este veche și nu trebuie citită ca starea de azi. Un rezumat secundar listează versiuni de nucleu stabile corectate (5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33, 7.0.10 și 7.1); folosește avizul distribuției tale, nu lista aceasta.
Nu se știe cum este folosit lanțul în practică, ce ținte sunt vizate și dacă modificarea datelor din cache-ul de pagini lasă urme pe disc. Includerea în KEV înseamnă că CISA consideră exploatarea activă, dar nu publică detalii.
Ce faci
- ▸Listează serverele Linux care rulează PHP (FPM, mod_php, FrankenPHP, LiteSpeed), în special cele accesibile din Internet, cu versiunea nucleului și a PHP.
- ▸Aplică avizul de nucleu al distribuției tale pentru CVE-2026-46300 și repornește: la RHEL 9 corecția cere repornire. Dacă folosești livepatch, verifică dacă acoperă acest CVE.
- ▸Aplică în paralel corecțiile PHP (8.5.12, 8.4.27, 8.3.36, 8.2.35) pentru PHP2Shell, care este punctul de intrare din lanț și figurează în KEV din 26 octombrie, cu termen 29 octombrie; vezi analiza noastră separată.
- ▸Dacă nu poți corecta imediat nucleul, articolul Tenable din mai descrie descărcarea modulelor esp4, esp6 și rxrpc și blocarea reîncărcării lor prin modprobe (install la /bin/false); aceeași măsură acoperă și Dirty Frag. Atenție: esp4 și esp6 sunt modulele IPsec ESP, deci verifică mai întâi că nu depinzi de IPsec pe acea gazdă. Aceasta este o atenție a noastră, nu o frază din sursă.
- ▸Dacă ai servere cu PHP expuse și nepatch-uite în ultimele zile, caută fișiere PHP noi în rădăcinile web, procese ale utilizatorului serverului web care lansează shell-uri sau interpretoare și conturi sau cron-uri noi, și păstrează jurnalele înainte de reconstruire.
Închide alerta cu dovezi
Pentru fiecare server, păstrează versiunea nucleului înainte și după, avizul distribuției aplicat, data repornirii, versiunea PHP, mitigările temporare (cu verificarea dependenței de IPsec), rezultatul căutărilor de webshell-uri și excepțiile rămase, cu motiv și termen. Termenul KEV de trei zile se aplică doar agențiilor federale, dar arată cât de repede se așteaptă corecția când un defect local este folosit împreună cu unul la distanță.
Nucleul și PHP, în aceeași listă
Urmărește în Awarely Monitor versiunea nucleului și a PHP pe fiecare server, plus dovezile patch-ului și ale repornirii. Corectarea și repornirea rămân în sistemele voastre.