Американската агенция за киберсигурност CISA издаде официално предупреждение за уязвимост с висока степен на опасност в Linux ядрото, която нападатели активно комбинират с дефектите PHP2Shell в реални атаки. Дефектът, известен като Fragnesia и каталогизиран под номер CVE-2026-46300, позволява локална ескалация на права до root (пълен административен контрол над системата). За българските организации с Linux уеб сървъри тази експлоатационна верига създава реален риск от цялостно компрометиране на фирмената инфраструктура.
Какво представлява дефектът Fragnesia в Linux ядрото
Уязвимостта се следи под номер CVE-2026-46300 и носи наименованието Fragnesia. Тя възниква от логическа грешка в подсистемата Linux XFRM ESP-in-TCP. Този проблем позволява на нападател, разполагащ с ограничен достъп до машината, да изпълни зловреден софтуерен код с root привилегии. Според техническите данни Fragnesia принадлежи към класа уязвимости Dirty Frag.
За проблема вече съществува публичен демонстрационен код за атака (PoC — Proof-of-Concept), който може да бъде приложен за придобиване на root права при водещите Linux дистрибуции с ядра, издадени преди 13 май 2026 г. Федералната агенция CISA включи CVE-2026-46300 в своя каталог с известни експлоатирани уязвимости (KEV Catalog) в сряда. На база на задължителната оперативна директива BOD 26-04 правителствените структури в САЩ получиха указания да обновят системите си най-късно до събота, 10-о число.
Въпреки че CISA не разкрива всички детайли за текущите инциденти, агенцията подчертава, че нападателите комбинират Fragnesia с критичните дефекти CVE-2026-109618 и CVE-2026-109619 в PHP, за да внедряват PHP уеб шелове и да изпълняват системни команди с пълен административен контрол.
Веригата от атаки: обединяване на PHP2Shell и Fragnesia
Опасността от Fragnesia нараства значително заради възможността за свързване на външен достъп с вътрешна ескалация. Според доклад от понеделник на изследователите от компанията Dream Security, двете уязвимости вече са използвани при успешни атаки срещу повече от две дузини сървъри. Анализаторите описват цялостна операция, включваща адаптирана експлоатация на веригата PHP2Shell заедно с Fragnesia, списъци с мишени, регистрационни файлове за компрометиране и около 40 персонализирани скрипта за действия след пробив.
Разкритите артефакти сочат, че кампанията е компрометирала напълно 25 сървъра на територията на САЩ, Япония, Тайван и Южна Корея. След като са придобили пълен root контрол, атакуващите са насочили вниманието си към три конкретни сървъра в среда, свързана с правителството на САЩ.
CISA добави уязвимостите от групата PHP2Shell към каталога с активни заплахи още в понеделник, като задължи гражданските агенции да ги отстранят до четвъртък. Експлоатацията в реални условия беше потвърдена и от инженера по сигурност Адел Карими от Perplexity, чиито примамки тип honeypot са засекли отдалечено изпълнение на код (RCE) срещу инсталация на Apache mod_php с версия PHP 8.4.26.
Кои системи са застрашени от верижния пробив
Рискът засяга организации, които използват Linux сървъри с публично достъпни уеб приложения. Атакуващите следват двуетапен модел: първо използват уязвимостите в PHP (PHP2Shell), за да проникнат от разстояние в уеб сървъра и да запишат уеб шел (зловреден интерфейс за отдалечено управление). На втория етап, вече разполагайки с правата на уеб услугата, те задействат Fragnesia върху уязвимото Linux ядро и незабавно получават пълен root достъп над цялата машина.
Какво да направите сега: препоръчителни стъпки
Проверете версията на ядрото на всички сървъри под управление на Linux и инсталирайте последните официални пакети, съдържащи корекция за CVE-2026-46300.
Уверете се, че използваните PHP среди са обновени срещу уязвимостите CVE-2026-109618 и CVE-2026-109619, за да прекъснете началната точка на атаката.
Сканирайте уеб директориите за неоторизирани PHP файлове и прегледайте системните логове за признаци на необичайни команди или скриптове за ескалация на права.
Намалете броя на услугите с директен публичен достъп и изолирайте критичните сървъри в отделни мрежови сегменти.
Обобщение
Комбинирането на дефекти в уеб технологиите с грешки в системното ядро като Fragnesia показва как атакуващите могат бързо да преминат от външна дупка до абсолютен контрол над сървъра. Навременната инсталация на софтуерните актуализации за Linux и PHP остава основният начин за спиране на подобни атаки. При необходимост от проверка на уязвимости или съдействие при обновяване на системната среда екипът на Defend.bg може да окаже съдействие на вашата организация.
