Кібербезпека

CISA попереджає про Fragnesia в Linux і ланцюжок атак із PHP2Shell

CISA внесла привілейовану вразливість Fragnesia у Linux до каталогу KEV і попередила про її використання в парі з двома критичними вадами PHP, відомими як PHP2Shell.

2 хвилини читання
CISA попереджає про Fragnesia в Linux і ланцюжок атак із PHP2Shell
Фото: BleepingComputer

Агентство з кібербезпеки та безпеки інфраструктури США (CISA) закликало терміново оновити Linux-системи через уразливість підвищення привілеїв CVE-2026-46300 (Fragnesia), яку зловмисники поєднують із критичними вразливостями PHP (PHP2Shell) у реальних атаках.

Що сталося

CISA додала Fragnesia до каталогу Known Exploited Vulnerabilities і зобов’язала федеральні установи встановити виправлення до суботи, 10-го, відповідно до директиви BOD 26-04. Окремо у понеділок до цього списку внесено й дві PHP-вразливості — CVE-2026-109618 та CVE-2026-109619 — із вимогою захистити мережі до четверга.

Як працює Fragnesia і ланцюжок PHP2Shell

Fragnesia — логічна вада в підсистемі Linux XFRM ESP-in-TCP з класу Dirty Frag. Вона дає зломникам змогу виконувати код із правами root у провідних дистрибутивах Linux із ядрами, випущеними до 13 травня 2026 року. Доступний proof‑of‑concept експлойт для локального підвищення привілеїв.

За даними CISA, Fragnesia можна поєднати з PHP2Shell, щоб впроваджувати PHP-вебшел і виконувати команди з правами суперкористувача на незахищених системах.

Ознаки активної експлуатації

CISA не розкрила деталей триваючих атак. Водночас аналітики Dream Security повідомили про повну операцію зламу, де поєднували експлойт-ланцюжок PHP2Shell із привілейованим підвищенням через Fragnesia. Дослідники зафіксували таргет-списки, журнали експлуатації та близько 40 користувацьких скриптів постексплуатації.

За їхніми даними, кампанія отримала root-доступ на 25 серверах у США, Японії, Тайвані та Південній Кореї, а згодом зосередилась на трьох серверах в інфраструктурі, пов’язаній із урядовою організацією США.

Окремо інженер з безпеки Perplexity Adel Karimi підтвердив експлуатацію PHP2Shell «в полі»: їхні honeypot-и зафіксували віддалене виконання коду проти Apache mod_php із PHP 8.4.26. Представник CISA не зміг оперативно надати більше відомостей щодо можливого поєднання Fragnesia та PHP2Shell у конкретних атаках.

Що робити адміністраторам

  • Оновити ядро Linux до версій, випущених після 13 травня 2026 року.
  • Встановити патчі для PHP, що закривають CVE-2026-109618 і CVE-2026-109619, зокрема на серверах із Apache mod_php.
  • Перевірити системи на наявність вебшелів і підозрілих скриптів постексплуатації.

Джерела

Читайте також