CISA hat die Linux-Kernel-Schwachstelle Fragnesia in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen und verweist dabei auf Belege für aktive Ausnutzung. Unabhängig davon berichteten Forscher, dass Angreifer sie zusammen mit PHP2Shell-Schwachstellen eingesetzt haben, um auf 25 Servern Root-Rechte zu erlangen, darunter drei in einer mit der US-Regierung verbundenen Umgebung.
Die CISA-Warnmeldung vom 28. Oktober führt Fragnesia unter der Kennung CVE-2026-46300. Durch die Aufnahme wird die Behebung für Behörden der zivilen Bundesexekutive der USA (Federal Civilian Executive Branch) gemäß der Binding Operational Directive 26-04 zur Priorität. CISA ruft auch andere Organisationen dazu auf, Schwachstellen aus dem Katalog vorrangig zu behandeln.
Fragnesia ermöglicht es, bestehende Zugriffe auszuweiten. Laut dem Bericht von BleepingComputer vom 29. Oktober liegt der Fehler im Teilsystem Linux XFRM ESP-in-TCP. Ein öffentlich verfügbarer Proof-of-Concept-Exploit erlaubt lokalen Angreifern, auf gängigen Linux-Distributionen mit Kerneln, die vor dem 13. Mai 2026 veröffentlicht wurden, Root-Rechte zu erlangen.
Die beschriebene Angriffskette kombiniert diese Rechteausweitung mit PHP2Shell, dem Sammelbegriff für CVE-2026-109618 und CVE-2026-109619. BleepingComputer zitierte CISA mit der Aussage, die Schwachstellen ließen sich verketten, um PHP-Webshells zu platzieren und Befehle als Root auszuführen. Webshells ermöglichen es Angreifern, über einen kompromittierten Webserver Befehle abzusetzen; Root-Rechte verleihen diesen Befehlen die höchste Zugriffsstufe im System. CISA hat keine Einzelheiten zu den laufenden Fragnesia-Angriffen veröffentlicht.
Forscher beschreiben eine kombinierte Angriffskampagne
Forscher von Dream Security berichteten in einem am Montag veröffentlichten Bericht, den BleepingComputer zitierte, dass sie eine angepasste PHP2Shell-Exploit-Kette zusammen mit Fragnesia gefunden haben. Dazu nannten sie Zielllisten, Exploitation-Protokolle und rund 40 selbst entwickelte Skripte für die Phase nach der Ausnutzung.
Nach Angaben der Forscher zeigten Artefakte der Kampagne, dass Angreifer auf 25 Servern in den Vereinigten Staaten, Japan, Taiwan und Südkorea Root-Zugriff erlangt hatten. Anschließend konzentrierten sie sich auf drei Server in einer mit der US-Regierung verbundenen Umgebung. Diese Erkenntnisse stammen von Dream Security. Die öffentliche Warnung von CISA bestätigt die Ausnutzung von Fragnesia, identifiziert diese Ziele jedoch nicht und beschreibt die Kampagne nicht.
BleepingComputer berichtete außerdem, dass Adel Karimi, Sicherheitsingenieur bei Perplexity, über das vergangene Wochenende in Honeypots Remote Code Execution gegen eine Apache-mod_php-Installation mit PHP 8.4.26 beobachtet hat. Diese Beobachtung betrifft die Ausnutzung von PHP2Shell und belegt für sich genommen nicht den Einsatz der vollständigen Kette.
Für betroffene Organisationen verbindet die gemeldete Kombination die Kompromittierung einer PHP-Anwendung mit der Ausweitung zur vollständigen Systemkontrolle. Die Richtlinie von CISA setzt auf eine schnelle Behebung katalogisierter Schwachstellen auf öffentlich erreichbaren Systemen, die nach einer Ausnutzung uneingeschränkte Kontrolle gewähren. Sie legt außerdem fest, dass geprüft werden soll, ob Angreifer ein System bereits kompromittiert haben, bevor ein Patch eingespielt wurde.
