CISA ha añadido la vulnerabilidad del kernel de Linux conocida como Fragnesia a su catálogo de Vulnerabilidades Explotadas Conocidas, citando pruebas de explotación activa. Por otra parte, investigadores informaron de que los atacantes la combinaron con vulnerabilidades PHP2Shell para obtener privilegios root en 25 servidores, entre ellos tres en un entorno vinculado al gobierno de Estados Unidos.
La alerta de CISA del 28 de octubre identifica Fragnesia como CVE-2026-46300. Su inclusión convierte la remediación en una prioridad para las agencias del Poder Ejecutivo Federal civil, en virtud de la Directiva Operativa Vinculante 26-04. CISA también anima a otras organizaciones a priorizar las vulnerabilidades del catálogo.
Fragnesia permite escalar un acceso ya existente. Según el informe de BleepingComputer del 29 de octubre, el fallo se encuentra en el subsistema XFRM ESP-in-TCP de Linux, y un exploit de prueba de concepto público permite a atacantes locales obtener privilegios root en las principales distribuciones de Linux con kernels publicados antes del 13 de mayo de 2026.
La cadena de ataque descrita combina esa escalada de privilegios con PHP2Shell, el nombre colectivo de CVE-2026-109618 y CVE-2026-109619. BleepingComputer citó a CISA al afirmar que estas vulnerabilidades pueden encadenarse para implantar webshells de PHP y ejecutar comandos como root. Los webshells permiten a los atacantes emitir comandos a través de un servidor web comprometido; los privilegios root dan a esos comandos el nivel de acceso más alto del sistema. CISA no reveló detalles de los ataques con Fragnesia en curso.
Investigadores describen una operación de ataque combinada
Investigadores de Dream Security indicaron en un informe del lunes, citado por BleepingComputer, que habían encontrado una cadena de explotación de PHP2Shell personalizada combinada con Fragnesia, además de listas de objetivos, registros de explotación y unos 40 scripts personalizados de post-explotación.
Los investigadores afirmaron que los artefactos de la campaña mostraban que los atacantes habían obtenido acceso root en 25 servidores de Estados Unidos, Japón, Taiwán y Corea del Sur. Después se centraron en tres servidores de un entorno vinculado al gobierno estadounidense. Estos hallazgos son la versión de Dream Security; la alerta pública de CISA confirma la explotación de Fragnesia sin identificar esos objetivos ni describir esa campaña.
BleepingComputer también informó de que Adel Karimi, ingeniero de seguridad de Perplexity, observó ejecución remota de código contra una instalación de Apache mod_php con PHP 8.4.26 en honeypots durante el fin de semana anterior. Esa observación se refiere a la explotación de PHP2Shell y, por sí sola, no demuestra el uso de la cadena completa.
Para las organizaciones afectadas, la combinación descrita conecta el compromiso de una aplicación PHP con la escalada hasta el control total del sistema. La directiva de CISA prioriza la remediación rápida de las vulnerabilidades catalogadas en activos expuestos públicamente que, tras la explotación, otorgan control total. También establece expectativas para comprobar si los atacantes comprometieron un sistema antes de aplicar un parche.
