La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) ha alertado a las agencias federales sobre la necesidad de corregir una vulnerabilidad de alta gravedad en el kernel de Linux que permite la escalada de privilegios. Los atacantes están encadenando este fallo con las vulnerabilidades PHP2Shell en ataques reales.
Detalles de Fragnesia
La vulnerabilidad, registrada como CVE-2026-46300 y conocida como Fragnesia, se debe a un error de lógica en el subsistema XFRM ESP-in-TCP del kernel de Linux que permite a los atacantes ejecutar código malicioso con permisos de root. Pertenece a la clase de vulnerabilidades Dirty Frag y cuenta con un exploit de prueba de concepto (PoC) que los atacantes locales pueden utilizar para obtener privilegios de root en las principales distribuciones de Linux con kernels lanzados antes del 13 de mayo de 2026.
CISA añadió CVE-2026-46300 a su catálogo de vulnerabilidades explotadas conocidas (KEV) el miércoles y ordenó a las agencias federales parchear sus sistemas antes del sábado 10, según lo estipulado en la Directiva Operativa Vinculante (BOD) 26-04.
La agencia no proporcionó detalles sobre los ataques en curso con Fragnesia, pero señaló que los actores de amenazas podrían encadenarla con dos vulnerabilidades críticas de PHP (CVE-2026-109618 y CVE-2026-109619), conocidas en conjunto como PHP2Shell, para desplegar webshells en sistemas sin parchear.
"Esta vulnerabilidad puede encadenarse con CVE-2026-109618 y CVE-2026-109619 para implantar webshells PHP y ejecutar comandos como root", afirmó CISA.
Cadena de explotación Fragnesia y PHP2Shell
Aunque CISA no ofreció más información sobre los atacantes que encadenan Fragnesia y PHP2Shell, los analistas de Dream Security indicaron en un informe del lunes que las vulnerabilidades se utilizaron para comprometer más de dos docenas de servidores, incluidos tres pertenecientes a una organización afiliada al gobierno de EE. UU.
"Los investigadores de Dream identificaron una operación de ataque completa que incluía un arma personalizada de la cadena de explotación PHP2Shell (CVE-2026-109618/CVE-2026-109619) combinada con la escalada de privilegios del kernel Fragnesia (CVE-2026-46300), listas de objetivos, registros de explotación y aproximadamente 40 scripts personalizados de post-explotación", explicaron.
El informe añade que se trata de artefactos de una campaña que había comprometido 25 servidores en Estados Unidos, Japón, Taiwán y Corea del Sur. Una vez obtenido el acceso root, el atacante se centró en tres servidores específicos de un entorno afiliado al gobierno estadounidense.
CISA también añadió los fallos PHP2Shell a su lista de vulnerabilidades explotadas activamente el lunes y ordenó a las agencias del Poder Ejecutivo Civil Federal (FCEB) asegurar sus redes antes del jueves.
Aunque la agencia estadounidense aún no ha proporcionado más detalles sobre los ataques PHP2Shell en curso, el ingeniero de seguridad de Perplexity, Adel Karimi, confirmó la explotación en el mundo real durante el fin de semana después de que sus honeypots registraran evidencia de ejecución remota de código contra una instalación de Apache mod_php con PHP 8.4.26.
Un portavoz de CISA no pudo compartir de inmediato más información sobre los actores de amenazas que podrían estar encadenando Fragnesia y PHP2Shell en ataques cuando BleepingComputer se puso en contacto hoy.
Relación con otras alertas
La alerta se suma a otras advertencias recientes de CISA sobre vulnerabilidades explotadas activamente, como varios fallos en el kernel de Linux, una vulnerabilidad de máxima gravedad en GitLab y fallos en productos Cisco.
- CISA confirma que las vulnerabilidades PHP2Shell ahora se explotan en ataques
- CISA alerta de la explotación activa de tres fallos en el kernel de Linux
- CISA afirma que una vulnerabilidad de máxima gravedad en GitLab ya se explota en el mundo real
- CISA: los hackers ahora explotan una vulnerabilidad de máxima gravedad en GitLab
- CISA advierte a las agencias federales que parcheen completamente fallos de Cisco explotados activamente
Deja una respuesta