CISA предупредила об эксплуатации уязвимости Fragnesia в ядре Linux в связке с PHP2Shell

Агентство по кибербезопасности и защите инфраструктуры США (CISA) потребовало от федеральных ведомств установить исправление для опасной уязвимости повышения привилегий в ядре Linux. По данным агентства, атакующие уже применяют её на практике в цепочке с уязвимостями PHP2Shell.

Что такое Fragnesia

Уязвимость получила идентификатор CVE-2026-46300 и название Fragnesia. Её причина — логическая ошибка в подсистеме XFRM ESP-in-TCP ядра Linux, которая позволяет выполнять вредоносный код с правами root.

Fragnesia относится к классу уязвимостей Dirty Frag. Для неё существует эксплойт, подтверждающий концепцию (PoC). С его помощью локальный злоумышленник может получить права root в крупных дистрибутивах Linux на ядрах, выпущенных до 13 мая 2026 года.

В среду CISA внесла CVE-2026-46300 в каталог известных эксплуатируемых уязвимостей (KEV). В соответствии с обязательной директивой BOD 26-04 федеральные ведомства должны обновить системы до субботы.

Связка с PHP2Shell

Подробностей о текущих атаках агентство не раскрыло. Однако оно отметило, что Fragnesia можно использовать вместе с двумя критическими уязвимостями PHP — CVE-2026-109618 и CVE-2026-109619, известными под общим названием PHP2Shell. Такая цепочка позволяет размещать на непропатченных системах веб-шеллы. «Эту уязвимость можно объединить с CVE-2026-109618 и CVE-2026-109619, чтобы внедрять PHP-веб-шеллы и выполнять команды от имени root», — говорится в сообщении CISA.

Более подробную картину дали аналитики Dream Security. В отчёте, опубликованном в понедельник, они сообщили, что с помощью этой связки было взломано более двух десятков серверов. Исследователи обнаружили следы полноценной операции: собственную боевую версию цепочки эксплойтов PHP2Shell в сочетании с Fragnesia, списки целей, журналы эксплуатации и около 40 скриптов для действий после взлома.

Согласно отчёту, злоумышленники получили root-доступ к 25 серверам в США, Японии, Тайване и Южной Корее. После этого они сосредоточились на трёх серверах в среде организации, связанной с правительством США.

Сроки для ведомств

Уязвимости PHP2Shell CISA добавила в каталог активно эксплуатируемых брешей ещё в понедельник. Федеральные гражданские ведомства исполнительной власти (FCEB) обязаны защитить свои сети до четверга.

Активную эксплуатацию PHP2Shell на выходных подтвердил и специалист по безопасности Perplexity Адель Карими. Ловушки-ханипоты компании зафиксировали удалённое выполнение кода на установке Apache mod_php с PHP 8.4.26.

Представитель CISA не смог сразу предоставить BleepingComputer дополнительные сведения о злоумышленниках, которые используют Fragnesia и PHP2Shell вместе.

Источник: Bleeping Computer