CISA warnt vor Fragnesia: Linux-Kernel-Lücke wird mit PHP2Shell verkettet
Die US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) hat am Mittwoch die Linux-Kernel-Schwachstelle CVE-2026-46300 in ihren Known Exploited Vulnerabilities (KEV) Catalog aufgenommen. Die als Fragnesia bekannte Lücke wird laut den vorliegenden Informationen bereits in Angriffen mit den PHP2Shell-Schwachstellen CVE-2026-109618 und CVE-2026-109619 verkettet. Dadurch können Angreifer PHP-Webshells platzieren und Befehle mit Root-Rechten ausführen.
Fragnesia beruht auf einem Logikfehler im Linux-XFRM-Subsystem für ESP-in-TCP. Ein lokaler Angreifer kann darüber Schadcode mit Root-Berechtigungen ausführen. Betroffen sind laut CISA beziehungsweise der zugrunde liegenden Berichterstattung große Linux-Distributionen mit Kernels, die vor dem 13. Mai 2026 veröffentlicht wurden. Für die Schwachstelle existiert zudem ein Proof-of-Concept-Exploit.
Angriffskette und Umfang
CISA hat keine Einzelheiten zu laufenden Angriffen auf Fragnesia veröffentlicht. Sicherheitsanalysten von Dream Security berichteten jedoch über eine vollständige PHP2Shell-Angriffsoperation, die die beiden PHP-Schwachstellen mit der Kernel-Lücke kombinierte. Dazu gehörten nach ihrer Darstellung Ziel-Listen, Exploitationsprotokolle und rund 40 Skripte für Aktivitäten nach der Kompromittierung.
Dream Security zufolge wurden 25 Server in den USA, Japan, Taiwan und Südkorea mit Root-Zugriff übernommen. Drei dieser Systeme hätten zu einer US-regierungsnahen Organisation gehört. Die Angaben stammen von Dream Security; CISA bestätigte in der vorliegenden Quelle nicht, dass diese konkrete Kampagne Fragnesia und PHP2Shell tatsächlich gemeinsam eingesetzt hat.
Frist für US-Bundesbehörden
Für US-Bundesbehörden gilt eine verbindliche Frist: CISA ordnete an, Fragnesia bis Samstag, den 10., zu beheben. Die PHP2Shell-Schwachstellen hatte die Behörde bereits am Montag in den Katalog aufgenommen und für Behörden des Federal Civilian Executive Branch eine Absicherung bis Donnerstag verlangt. Eine korrigierte Kernel-Version nennt die vorliegende Evidenz nicht.
Die aktive Ausnutzung der PHP2Shell-Schwachstellen wurde laut der Quelle durch Beobachtungen von Honeypots bestätigt. Dabei wurde Remote-Code-Ausführung gegen eine Apache-mod_php-Installation mit PHP 8.4.26 festgestellt. Für Fragnesia selbst nennt CISA keine weitergehenden Details zu laufenden Angriffen; belegt ist jedoch die Aufnahme in den KEV-Katalog und die dokumentierte Verkettungsmöglichkeit.