CISA varnar för att Fragnesia används i PHP2Shell-attacker

USA:s cybersäkerhetsmyndighet CISA har lagt till en sårbarhet i Linux-kärnan, känd som Fragnesia, i katalogen över kända utnyttjade sårbarheter (KEV). Myndigheten varnar för att angripare kombinerar den med PHP2Shell-sårbarheterna.

Fragnesia spåras som CVE-2026-46300 och är ett logikfel i Linux-undersystemet XFRM ESP-in-TCP. Felet kan låta lokala angripare köra kod med root-behörighet. Det tillhör sårbarhetsklassen Dirty Frag. Ett proof-of-concept-angrepp kan ge root-behörighet på större Linux-distributioner med kärnor som släpptes före den 13 maj 2026.

CISA lade till Fragnesia i katalogen på onsdagen och beordrade federala myndigheter att installera korrigeringar på berörda system senast lördagen den 10:e, enligt det bindande operativa direktivet BOD 26-04. Myndigheten beskrev inte de pågående Fragnesia-attackerna, men sade att sårbarheten kan kombineras med CVE-2026-109618 och CVE-2026-109619, som tillsammans spåras som PHP2Shell, för att placera PHP-webbskal och köra kommandon som root.

Analytiker på Dream Security sade att deras rapport från måndagen dokumenterade en kampanj där 25 servrar i USA, Japan, Taiwan och Sydkorea fick root-behörighet. Tre av servrarna fanns i en miljö med koppling till USA:s regering. De beskrev en specialanpassad PHP2Shell-angreppskedja i kombination med Fragnesia, samt mållistor, exploateringsloggar och omkring 40 skript för aktiviteter efter intrånget.

CISA lade också till PHP2Shell-sårbarheterna på sin lista över aktivt utnyttjade sårbarheter på måndagen och gav federala myndigheter inom den civila verkställande grenen till torsdag på sig att säkra sina nätverk. Separat rapporterade Perplexitys säkerhetsingenjör Adel Karimi bevis på utnyttjande under helgen: honeypots registrerade fjärrkörning av kod mot Apache mod_php med PHP 8.4.26.