CISA подтвердила атаки через Fragnesia: уязвимость ядра Linux добивает взлом PHP-сайтов до root
Дыру в ядре закрыли ещё в мае, но 28 октября её признали эксплуатируемой в реальных атаках. Разбираем цепочку и что проверить на своих серверах.
28 октября 2026 года американское агентство CISA добавило в каталог KEV (известные эксплуатируемые уязвимости) две записи, и одна из них касается ядра Linux: CVE-2026-46300, она же Fragnesia. Это локальное повышение привилегий до root с оценкой CVSS 7,8. Попадание в KEV означает, что атаки уже зафиксированы, а не обсуждаются в теории. Федеральным ведомствам США дали срок на исправление до 31 октября.
Сама ошибка не новая. Её нашёл Уильям Боулинг из команды V12, а патчи дистрибутивы выпустили ещё в мае: AlmaLinux сообщила о Fragnesia 13 мая и предупредила, что эксплойт сразу даёт root на всех основных дистрибутивах. Опасность в другом: по данным CyberSecurityNews, атакующие связывают её со свежими дырами PHP2Shell в самом PHP и так проходят путь от анонимного HTTP-запроса до root на сервере.
Значит, под ударом в первую очередь серверы, где работают сайты и веб-приложения на PHP и где ядро не обновляли с весны. Если такое приложение вам делал и сопровождает подрядчик, уточните, кто отвечает за обновление PHP и ядра после сдачи проекта. Как плановый патчинг прописывают в сопровождение заказного веб-приложения, можно посмотреть на yusmpgroup.ru.
Как устроена цепочка атаки
- Вход через PHP. CVE-2026-109618 и CVE-2026-109619 раскрыты 21 октября. Это ошибки работы с памятью при обработке запросов, которые, по данным Zscaler ThreatLabz, позволяют без авторизации выполнить код от имени веб-воркера. Уязвимы PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.
- Веб-шелл. Атакующий кладёт PHP-шелл и выполняет команды от пользователя вроде
www-data. - Root через ядро. Функция
skb_try_coalesce()теряет флагSKBFL_SHARED_FRAG, и через путь ESP-in-TCP (модулиesp4/esp6) непривилегированный процесс поднимается до root.
Что проверить на сервере
- Версию ядра:
uname -r. Исправления вошли в 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33 и 7.0.10. У ядер дистрибутивов свои номера, ориентируйтесь на бюллетени вендора, например трекер Debian. - Версию PHP:
php -v. Нужны 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Для 8.1 и более старых веток исправлений нет, остаётся переезд на поддерживаемую. - Перезагрузку после обновления ядра. Пакет поставили, а сервер не перезагрузили, значит, работает старое ядро.
- Модули
esp4иesp6: если IPsec на машине не нужен, их можно не загружать. Это сужает поверхность атаки, пока патч не встал. - Следы взлома: свежие
.php-файлы в каталогах загрузок и неожиданные процессы от пользователя веб-сервера.
Базовый набор мер для нового сервера мы собирали в материале о защите Linux-сервера, а про обновление TLS-стека писали в новости об OpenSSL 4.1.
Важно: Fragnesia сама по себе требует локального доступа. Опасной её делает связка с PHP2Shell, которая даёт этот доступ снаружи. Обновлять нужно оба слоя: и PHP, и ядро.