CISA ha inserito la vulnerabilità del kernel Linux nota come Fragnesia nel catalogo Known Exploited Vulnerabilities, citando prove di sfruttamento attivo. Parallelamente, i ricercatori hanno riferito che gli attaccanti l'hanno combinata con le vulnerabilità PHP2Shell per ottenere privilegi root su 25 server, tra cui tre in un ambiente legato al governo degli Stati Uniti.
L'avviso CISA del 28 ottobre identifica Fragnesia come CVE-2026-46300. Il suo inserimento rende la risoluzione una priorità per le agenzie civili del potere esecutivo federale, ai sensi della Binding Operational Directive 26-04. La CISA invita inoltre le altre organizzazioni a dare priorità alle vulnerabilità presenti nel catalogo.
Fragnesia offre un modo per elevare un accesso già esistente. Secondo il resoconto di BleepingComputer del 29 ottobre, la falla riguarda il sottosistema Linux XFRM ESP-in-TCP e un exploit proof-of-concept pubblico consente a un attaccante locale di ottenere privilegi root sulle principali distribuzioni Linux con kernel rilasciati prima del 13 maggio 2026.
La catena di attacco riportata abbina questa escalation di privilegi a PHP2Shell, nome collettivo per CVE-2026-109618 e CVE-2026-109619. BleepingComputer ha citato la CISA secondo cui le vulnerabilità possono essere concatenate per installare webshell PHP ed eseguire comandi come root. Le webshell permettono agli attaccanti di impartire comandi tramite un server web compromesso; i privilegi root conferiscono a tali comandi il livello di accesso più elevato del sistema. La CISA non ha divulgato dettagli sugli attacchi Fragnesia in corso.
I ricercatori descrivono un'operazione d'attacco combinata
I ricercatori di Dream Security hanno dichiarato in un rapporto di lunedì, citato da BleepingComputer, di aver trovato una catena di exploit PHP2Shell personalizzata abbinata a Fragnesia, insieme a liste di obiettivi, log di sfruttamento e circa 40 script personalizzati per la fase post-sfruttamento.
I ricercatori hanno affermato che gli artefatti della campagna mostravano che gli attaccanti avevano ottenuto accesso root su 25 server negli Stati Uniti, in Giappone, a Taiwan e in Corea del Sud. Si sono poi concentrati su tre server in un ambiente affiliato al governo statunitense. Si tratta del resoconto di Dream Security; l'avviso pubblico della CISA conferma lo sfruttamento di Fragnesia senza identificare quegli obiettivi né descrivere quella campagna.
BleepingComputer ha inoltre riferito che Adel Karimi, ingegnere della sicurezza di Perplexity, ha osservato nel fine settimana precedente esecuzioni di codice remoto contro un'installazione Apache mod_php con PHP 8.4.26 in honeypot. Tale osservazione riguarda lo sfruttamento di PHP2Shell e non dimostra, di per sé, l'uso dell'intera catena.
Per le organizzazioni interessate, la combinazione riportata collega la compromissione di un'applicazione PHP all'escalation fino al controllo completo del sistema. La direttiva della CISA dà priorità alla rapida risoluzione delle vulnerabilità catalogate sugli asset esposti pubblicamente che, dopo lo sfruttamento, consentono il controllo totale. Stabilisce inoltre aspettative per verificare se gli attaccanti abbiano compromesso un sistema prima che una patch fosse applicata.
