Американската агенция за киберсигурност и сигурност на инфраструктурата (CISA) предупреди федералните агенции да инсталират корекции за сигурност за уязвимост с висока степен на опасност за ескалация на привилегиите в ядрото на Linux, която нападателите комбинират с уязвимостите PHP2Shell в реални условия.

Проследявана като CVE-2026-46300 и известна като Fragnesia, тази уязвимост произтича от логическа грешка в подсистемата XFRM ESP-in-TCP на Linux, която позволява на атакуващите да изпълняват злонамерен код с root права.

Fragnesia принадлежи към класа уязвимости Dirty Frag и разполага с работещ експлойт за доказване на концепцията (PoC), който локални атакуващи могат да използват, за да получат root привилегии в основните дистрибуции на Linux с ядра, пуснати преди 13 май 2026 г.

CISA добави CVE-2026-46300 към своя каталог с известни експлоатирани уязвимости (KEV) в сряда и разпореди на федералните агенции да отстранят уязвимостта в своите системи до събота, 10-о число, съгласно Задължителната оперативна директива (BOD) 26-04.

Агенцията за киберсигурност не сподели подробности за текущите атаки с Fragnesia, но отбеляза, че авторите на заплахи могат да я комбинират с две критични уязвимости в PHP (CVE-2026-109618 и CVE-2026-109619), колективно проследявани като PHP2Shell, за да разполагат уеб шелове (webshells) на системи без инсталирани корекции за сигурност.

„Тази уязвимост може да бъде комбинирана с CVE-2026-109618 и CVE-2026-109619 за имплантиране на PHP уеб шелове и изпълнение на команди като root“, съобщи CISA.

Верига за експлоатация на Fragnesia и PHP2Shell

Въпреки че CISA не предостави повече информация за атакуващите, комбиниращи уязвимостите Fragnesia и PHP2Shell, анализаторите на Dream Security съобщиха в доклад в понеделник, че уязвимостите са били използвани за проникване в над две дузини сървъри, включително три, принадлежащи на организация, свързана с правителството на САЩ.

„Изследователите от Dream идентифицираха цялостна операция за атака, включваща персонализирано превръщане на експлойт веригата PHP2Shell (CVE-2026-109618/CVE-2026-109619) в оръжие, комбинирана с ескалацията на привилегии в ядрото чрез Fragnesia (CVE-2026-46300), списъци с мишени, логове от експлоатация и приблизително 40 персонализирани скрипта за действия след компрометиране“, заявиха те.

„Това включваше следи от кампания, която е получила root достъп до 25 сървъра в Съединените щати, Япония, Тайван и Южна Корея. След получаване на root достъп атакуващият се е насочил към три конкретни сървъра в среда, свързана с правителството на САЩ.“

В понеделник CISA добави уязвимостите PHP2Shell към списъка си с активно експлоатирани уязвимости и задължи агенциите на Федералната гражданска изпълнителна власт (FCEB) да защитят мрежите си до четвъртък.

Въпреки че американската агенция за киберсигурност все още не е предоставила повече подробности за текущите атаки с PHP2Shell, инженерът по сигурността на Perplexity Адел Карими потвърди активната експлоатация през уикенда, след като техните honeypot системи записаха доказателства за отдалечено изпълнение на код срещу инсталация на Apache mod_php, работеща с PHP 8.4.26.

Говорител на CISA не успя веднага да сподели повече информация относно авторите на заплахи, потенциално комбиниращи Fragnesia и PHP2Shell в атаки, когато BleepingComputer се свърза с тях по-рано днес.