CISA, Fragnesia'nın PHP2Shell saldırılarında birlikte kullanıldığı uyarısında bulundu

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Fragnesia olarak bilinen Linux çekirdeği açığını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) Kataloğu'na ekledi ve saldırganların bu açığı PHP2Shell açıklarıyla birlikte kullandığı uyarısında bulundu.

CVE-2026-46300 olarak izlenen Fragnesia, Linux XFRM ESP-in-TCP alt sistemindeki bir mantık hatasıdır ve yerel saldırganların root yetkileriyle kod çalıştırmasına olanak verebilir. Dirty Frag güvenlik açığı sınıfına girer. Kavram kanıtı (PoC) istismarı, 13 Mayıs 2026'dan önce yayımlanan çekirdekleri kullanan büyük Linux dağıtımlarında root yetkisi elde edebilir.

CISA, Fragnesia'yı çarşamba günü kataloğa ekledi ve Bağlayıcı Operasyon Direktifi (BOD) 26-04 kapsamında federal kurumlara etkilenen sistemleri cumartesi 10'una kadar yamalama talimatı verdi. Ajans, devam eden Fragnesia saldırılarının ayrıntılarını paylaşmadı; ancak açığın, topluca PHP2Shell olarak izlenen CVE-2026-109618 ve CVE-2026-109619 ile birleştirilerek PHP web kabukları yerleştirmek ve root olarak komut çalıştırmak için kullanılabileceğini belirtti.

Dream Security analistleri, pazartesi günkü raporlarında ABD, Japonya, Tayvan ve Güney Kore'de 25 sunucunun root yetkisiyle ele geçirildiği bir kampanyayı belgelediklerini söyledi. Sunucuların üçü ABD hükümetiyle bağlantılı bir ortama aitti. Analistler; hedef listeleri, istismar kayıtları ve yaklaşık 40 istismar sonrası betiğin yanı sıra Fragnesia ile eşleştirilmiş, özel olarak hazırlanmış bir PHP2Shell istismar zinciri tarif etti.

CISA, PHP2Shell açıklarını da pazartesi günü aktif olarak istismar edilenler listesine ekledi ve Federal Sivil Yürütme Kolu kurumlarına ağlarını güvenceye almaları için perşembe gününe kadar süre verdi. Ayrıca Perplexity güvenlik mühendisi Adel Karimi, hafta sonu honeypot'larının PHP 8.4.26 çalıştıran Apache mod_php kurulumuna yönelik uzaktan kod çalıştırma kanıtı kaydettiğini bildirdi.