Уязвимостта Fragnesia може да превърне компрометирането на уеб приложение в пълен контрол над Linux сървър. Според доклад на Dream Security нападателите са получили root достъп до 25 сървъра в четири държави.
Американската агенция за киберсигурност и инфраструктурна сигурност (CISA) предупреди за активно експлоатирана уязвимост в ядрото на Linux, която може да бъде комбинирана с две уязвимости в PHP, известни като PHP2Shell. Верижната атака позволява на нападателите да преминат от изпълнение на код през уеб приложение към получаване на най-високите системни привилегии.
Проблемът е регистриран като CVE-2026-46300 и е известен под името Fragnesia. На 28 октомври CISA го добави в каталога си Known Exploited Vulnerabilities (KEV), който включва уязвимости с установена експлоатация в реални условия. <Cite refs={[„turn847575search2″,“turn847575search6“]}/>
От уязвимо PHP приложение до системни привилегии
Fragnesia засяга подсистемата XFRM ESP-in-TCP в Linux ядрото. Техническият проблем позволява на локален нападател с ограничени права да манипулира данни в кеша на страници за файлове и да използва това, за да получи права на root.
Уязвимостта е оценена с CVSS 7.8 – висока степен на сериозност. За нея има публично достъпен код за доказване на концепцията, а производители на Linux дистрибуции са публикували корекции. <Cite refs={[„turn847575search0″,“turn847575search3“]}/>
Рискът нараства при комбинирането ѝ с CVE-2026-109618 и CVE-2026-109619, известни общо като PHP2Shell. Според предупреждението на CISA тази комбинация може да позволи инсталиране на PHP уебшел и изпълнение на команди с права на root.
Това съчетание е важно от гледна точка на защитата на инфраструктурата: уязвимост в достъпно през интернет приложение може да осигури начална точка за атака, а слабостта в ядрото – възможност за разширяване на достъпа до цялата система.
Докладвани са 25 компрометирани сървъра
Според анализатори от Dream Security, цитирани от BleepingComputer, разследвана операция включва персонализирана експлоатация на PHP2Shell и Fragnesia, списъци с цели, логове от атаките и приблизително 40 скрипта за действия след компрометирането.
Изследователите съобщават за 25 сървъра, на които нападателите са получили root достъп. Системите са били в САЩ, Япония, Тайван и Южна Корея. Три от сървърите са принадлежали на среда, свързана с правителствена организация на САЩ. <Cite refs={[„turn847575search6“]}/>
Публично описаните данни не дават основание да се заключи, че всички засегнати системи са били компрометирани по идентичен начин или че нападателите са извършили еднакви действия във всяка от тях. Не е посочена и потвърдена атрибуция на операцията към конкретна група.
Отделно CISA включи и двете уязвимости PHP2Shell в каталога KEV. Според BleepingComputer експлоатация е била засечена и от honeypot инфраструктура, която е регистрирала изпълнение на код от разстояние срещу Apache mod_php с PHP 8.4.26. Това е допълнителен сигнал, че рискът не се ограничава до теоретична възможност за атака. <Cite refs={[„turn847575search6“]}/>
Какво трябва да направят администраторите
Организациите, които поддържат Linux сървъри и PHP приложения, трябва да проверят наличните корекции за двете групи уязвимости. Необходимо е да се използват актуализациите, предоставени от конкретния производител на дистрибуцията, тъй като номерата на пакетите и версиите с корекции могат да се различават.
Приоритетни са системите с публично достъпни PHP приложения, сървърите, които обработват чувствителни данни, и инфраструктурата, в която едновременно се използват уязвими версии на PHP и Linux ядрото.
Проверката не трябва да се ограничава до инсталирането на актуализации. Администраторите следва да търсят необичайни процеси, неочаквани уебшел файлове, подозрителни промени в системните акаунти и следи от изпълнение на команди от уеб сървъра. Ако има признаци за проникване, системата трябва да бъде третирана като потенциално компрометирана дори след отстраняване на уязвимостите.
CISA е определила срок за отстраняване на Fragnesia в американските федерални агенции до 31 октомври 2026 г. Този срок произтича от американските федерални изисквания и не се прилага автоматично към българските организации. За тях обаче включването на уязвимостта в KEV и публикуваните данни за комбинирана експлоатация са достатъчна причина за приоритетна техническа проверка.
Основният извод е, че защитата на уеб приложенията и тази на операционната система трябва да се разглеждат като свързани части от един процес. Отстраняването само на първоначалната уязвимост може да остави други рискове, а вече компрометиран сървър изисква разследване, а не само обновяване на софтуера.
