CISA предупредила о связке уязвимостей Linux Fragnesia и PHP2Shell в реальных атаках
Агентство CISA потребовало от федеральных ведомств США срочно установить обновления для уязвимости CVE-2026-46300 в ядре Linux, известной как Fragnesia. Агентство также предупредило, что её можно связать с двумя критическими уязвимостями PHP и использовать для получения прав root.
Главное в цифрах
- Срок исправления Fragnesia для федеральных ведомств США: суббота, 10-е число
- Уязвимость Fragnesia: CVE-2026-46300
- Уязвимости PHP2Shell: CVE-2026-109618 и CVE-2026-109619
- Взломано серверов в кампании по данным Dream Security: 25 в США, Японии, Тайване и Южной Корее
- Ядра Linux, выпущенные до 13 мая 2026 года, уязвимы для публичного PoC-эксплойта
CISA добавила CVE-2026-46300 в каталог известных эксплуатируемых уязвимостей (KEV) и установила срок исправления до субботы, 10-го числа. Уязвимость представляет собой ошибку логики в подсистеме XFRM ESP-in-TCP ядра Linux, которая позволяет локальному злоумышленнику выполнить код с правами root. Публичный PoC-эксплойт существует для основных дистрибутивов с ядрами, выпущенными до 13 мая 2026 года.
Fragnesia относится к классу уязвимостей Dirty Frag. CISA не стала раскрывать подробности текущих атак с использованием Fragnesia, но отметила, что злоумышленники могут связать её с уязвимостями CVE-2026-109618 и CVE-2026-109619 в PHP, которые вместе называют PHP2Shell, чтобы установить webshell на неисправленных системах.
Масштаб атак
По данным Dream Security, опубликованным в понедельник, связка использовалась для взлома более двух десятков серверов, включая три сервера организации, связанной с правительством США. Исследователи описали полную операцию, в которую входили модифицированная цепочка эксплойтов PHP2Shell вместе с Fragnesia, списки целей, журналы эксплуатации и около 40 собственных скриптов для действий после взлома. По их данным, кампания получила root-доступ к 25 серверам в США, Японии, Тайване и Южной Корее, после чего атакующий сосредоточился на трёх серверах в среде, связанной с правительством США.
CISA также добавила уязвимости PHP2Shell в список активно эксплуатируемых и обязала агентства Федеральной гражданской исполнительной власти защитить свои сети до четверга. Инженер безопасности Perplexity Адель Карими подтвердил эксплуатацию в реальных условиях: их ханипоты зафиксировали удалённое выполнение кода на установке Apache mod_php с PHP 8.4.26.
Что это значит
Для компаний с неисправленными системами риск особенно высок. Связка позволяет перейти от обычного доступа к полному контролю над сервером, поэтому обновление ядра и PHP стоит проверить в первую очередь.
