CISA alerta de que Fragnesia se encadena en ataques PHP2Shell

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) ha añadido a su catálogo de vulnerabilidades explotadas conocidas (KEV) un fallo del kernel de Linux conocido como Fragnesia. La agencia advierte que los atacantes lo están encadenando con las vulnerabilidades PHP2Shell.

Registrada como CVE-2026-46300, Fragnesia es un error lógico en el subsistema XFRM ESP-in-TCP de Linux que puede permitir a atacantes locales ejecutar código con permisos de root. Pertenece a la clase de vulnerabilidades Dirty Frag. Una prueba de concepto puede obtener privilegios de root en las principales distribuciones de Linux con kernels publicados antes del 13 de mayo de 2026.

CISA incorporó Fragnesia al catálogo el miércoles y ordenó a las agencias federales corregir los sistemas afectados antes del sábado 10, conforme a la Directiva Operativa Vinculante BOD 26-04. La agencia no detalló los ataques actuales con Fragnesia, pero indicó que el fallo puede encadenarse con CVE-2026-109618 y CVE-2026-109619, registradas conjuntamente como PHP2Shell, para instalar web shells PHP y ejecutar comandos como root.

Analistas de Dream Security dijeron que su informe del lunes documentó una campaña que obtuvo acceso root en 25 servidores de Estados Unidos, Japón, Taiwán y Corea del Sur. Tres de los servidores pertenecían a un entorno vinculado al Gobierno estadounidense. Describieron una cadena de explotación PHP2Shell personalizada combinada con Fragnesia, además de listas de objetivos, registros de explotación y unos 40 scripts posteriores a la intrusión.

CISA también añadió el lunes las vulnerabilidades PHP2Shell a su lista de fallos explotados activamente y dio a las agencias federales del poder ejecutivo hasta el jueves para proteger sus redes. Por separado, el ingeniero de seguridad de Perplexity Adel Karimi informó de indicios de explotación durante el fin de semana: sus honeypots registraron ejecución remota de código contra una instalación de Apache mod_php con PHP 8.4.26.