La CISA a ajouté la vulnérabilité du noyau Linux connue sous le nom de Fragnesia à son catalogue des vulnérabilités exploitées (Known Exploited Vulnerabilities), en se fondant sur des preuves d'exploitation active. Par ailleurs, des chercheurs ont signalé que des attaquants l'avaient combinée à des vulnérabilités PHP2Shell pour obtenir des privilèges root sur 25 serveurs, dont trois dans un environnement affilié à l'administration américaine.
L'alerte de la CISA du 28 octobre identifie Fragnesia sous le nom CVE-2026-46300. Son inscription au catalogue fait de la correction une priorité pour les agences civiles de l'exécutif fédéral, en vertu de la directive opérationnelle contraignante 26-04. La CISA encourage également les autres organisations à traiter en priorité les vulnérabilités de ce catalogue.
Fragnesia permet d'élever des accès existants. Selon le rapport de BleepingComputer du 29 octobre, la faille se situe dans le sous-système XFRM ESP-in-TCP de Linux, et un exploit de démonstration (proof-of-concept) public permet à un attaquant local d'obtenir les privilèges root sur les principales distributions Linux dont les noyaux ont été publiés avant le 13 mai 2026.
La chaîne d'attaque signalée associe cette élévation de privilèges à PHP2Shell, nom collectif désignant les CVE-2026-109618 et CVE-2026-109619. Selon BleepingComputer, qui cite la CISA, ces vulnérabilités peuvent être enchaînées pour implanter des webshells PHP et exécuter des commandes en tant que root. Les webshells permettent aux attaquants d'envoyer des commandes via un serveur web compromis ; les privilèges root donnent à ces commandes le niveau d'accès le plus élevé du système. La CISA n'a pas divulgué de détails sur les attaques Fragnesia en cours.
Des chercheurs décrivent une opération d'attaque combinée
Dans un rapport publié lundi, cité par BleepingComputer, des chercheurs de Dream Security ont indiqué avoir trouvé une chaîne d'exploitation PHP2Shell personnalisée, associée à Fragnesia, ainsi que des listes de cibles, des journaux d'exploitation et environ 40 scripts personnalisés de post-exploitation.
Les chercheurs ont déclaré que les traces de la campagne montraient que les attaquants avaient obtenu un accès root sur 25 serveurs répartis aux États-Unis, au Japon, à Taïwan et en Corée du Sud. Ils se sont ensuite concentrés sur trois serveurs d'un environnement affilié à l'administration américaine. Ces constats relèvent du récit de Dream Security ; l'alerte publique de la CISA confirme l'exploitation de Fragnesia sans identifier ces cibles ni décrire cette campagne.
BleepingComputer rapporte aussi que Adel Karimi, ingénieur en sécurité chez Perplexity, a observé, dans des pots de miel (honeypots), une exécution de code à distance visant une installation Apache mod_php exécutant PHP 8.4.26 au cours du week-end précédent. Cette observation concerne l'exploitation de PHP2Shell et ne prouve pas, à elle seule, l'utilisation de la chaîne complète.
Pour les organisations touchées, la combinaison rapportée relie la compromission d'une application PHP à l'obtention d'un contrôle total du système. La directive de la CISA donne la priorité à la correction rapide des vulnérabilités cataloguées affectant les actifs exposés publiquement, qui accordent un contrôle total après exploitation. Elle fixe aussi des attentes quant à la vérification de l'éventuelle compromission d'un système avant l'application d'un correctif.
