A CISA emitiu um alerta sobre a exploração da vulnerabilidade Fragnesia (CVE-2026-46300), uma falha no kernel Linux que permite a usuários locais elevar seus privilégios até root. O risco ganhou ainda mais relevância após a identificação de uma campanha que combina essa vulnerabilidade com falhas em aplicações PHP para comprometer servidores e equipamentos de infraestrutura.
O ataque combina dois estágios. Primeiro, os invasores exploram o PHP2Shell, associado às CVEs CVE-2026-109618 e CVE-2026-109619, para obter execução de código em sistemas vulneráveis. Em seguida, utilizam a Fragnesia para tentar transformar esse acesso inicial em controle privilegiado sobre o sistema operacional.
A gravidade do cenário foi reforçada pela inclusão da CVE-2026-46300 no catálogo de vulnerabilidades exploradas conhecidas (KEV) da CISA em 28 de outubro de 2026. Relatos de uma campanha que teria comprometido 25 servidores também aumentam a preocupação com ambientes expostos à internet. Para administradores Linux, a prioridade é verificar a instalação de correções, avaliar aplicações PHP e investigar possíveis sinais de invasão.
Como funciona a falha Fragnesia no Linux
A Fragnesia é uma vulnerabilidade de elevação local de privilégios no kernel Linux, identificada por William Bowling, da equipe V12 Security. Ela pertence à família de falhas conhecida como Dirty Frag, relacionada ao tratamento inadequado de fragmentos de memória no processamento de pacotes de rede.
O problema está no subsistema ESP-in-TCP, que integra o framework XFRM do kernel. A falha permite que um usuário com privilégios limitados explore um erro de lógica para modificar dados mantidos no cache de páginas do sistema, inclusive dados associados a arquivos que deveriam permanecer somente para leitura.
O impacto é significativo porque o kernel ocupa uma posição privilegiada na arquitetura do Linux. Quando uma falha permite modificar dados sensíveis sem respeitar as proteções esperadas, um invasor pode encontrar caminhos para executar operações administrativas sem possuir previamente a senha de root.
Por que o subsistema XFRM é importante
O XFRM é uma infraestrutura do kernel Linux responsável por operações relacionadas à transformação de pacotes de rede, incluindo mecanismos utilizados pelo IPsec, conjunto de protocolos que protege comunicações IP.
Uma das funcionalidades envolvidas é o ESP-in-TCP, que permite transportar pacotes ESP dentro de conexões TCP. O processamento desses pacotes exige operações com estruturas de dados e fragmentos de memória que podem estar associados ao cache de arquivos.
A Fragnesia explora uma falha nessa sequência. Durante a combinação de fragmentos de buffers de rede, o kernel pode deixar de preservar uma marcação interna que indica que determinadas páginas de memória são compartilhadas.
Essa marcação, identificada como SKBFL_SHARED_FRAG, é importante para impedir que operações posteriores modifiquem diretamente dados que não deveriam ser alterados daquela maneira.
Quando o marcador é perdido, o processamento ESP pode interpretar incorretamente os fragmentos como seguros para determinadas operações de escrita. Isso abre caminho para a alteração de dados no cache de páginas, mesmo quando o arquivo correspondente está protegido contra escrita.
O resultado é uma vulnerabilidade que permite modificar dados sensíveis sem precisar alterar diretamente o conteúdo armazenado no disco. Essa característica torna a falha particularmente relevante para a segurança do kernel e dos mecanismos de proteção de arquivos.
Quais versões do kernel Linux são afetadas?
A Fragnesia afeta versões do kernel que não receberam as correções correspondentes. O problema foi divulgado em maio de 2026, e correções foram disponibilizadas para diferentes versões estáveis e distribuições Linux.
Entre os ambientes que exigem verificação estão sistemas baseados em Ubuntu, Debian, Red Hat Enterprise Linux e outras distribuições que utilizam kernels vulneráveis. A situação varia conforme a versão, os pacotes instalados e as atualizações fornecidas pelos mantenedores.
Por isso, não é correto considerar todos os sistemas anteriores a uma data específica automaticamente vulneráveis, nem presumir que uma versão aparentemente antiga esteja desprotegida. Algumas distribuições aplicam correções retroativas sem modificar a versão principal do kernel.
A existência de um código de prova de conceito (PoC) público também aumenta a necessidade de uma resposta rápida. A divulgação de uma técnica funcional pode facilitar tanto a validação por pesquisadores quanto o desenvolvimento de ferramentas por agentes maliciosos.
Como PHP2Shell e Fragnesia são combinados nos ataques
A campanha relatada demonstra como vulnerabilidades de diferentes camadas podem ser encadeadas para ampliar o impacto de uma invasão. O PHP2Shell oferece um possível caminho de entrada, enquanto a Fragnesia permite tentar elevar os privilégios obtidos.
Primeiro estágio: comprometimento da aplicação PHP
O primeiro passo consiste em explorar falhas associadas ao PHP2Shell, identificadas pelas CVEs CVE-2026-109618 e CVE-2026-109619 no cenário relatado.
Uma aplicação vulnerável pode permitir que um invasor execute comandos no servidor ou instale uma webshell, dependendo das condições de exploração. Esse acesso inicial normalmente opera com as permissões do processo responsável pela aplicação.
Em servidores Apache com PHP, por exemplo, o processo pode executar sob uma conta de serviço com permissões limitadas. Mesmo assim, o invasor pode tentar acessar arquivos, coletar credenciais disponíveis para a aplicação e identificar outras vulnerabilidades no ambiente.
O risco não se limita ao código da aplicação. Configurações inadequadas, dependências desatualizadas e permissões excessivas podem ampliar as consequências do comprometimento inicial.
Segundo estágio: elevação de privilégios até root
Depois de obter execução de código, o invasor pode tentar explorar a Fragnesia para ultrapassar as restrições da conta comprometida.
A falha permite modificar dados no cache de páginas de arquivos protegidos contra escrita. Uma técnica de exploração pode utilizar esse comportamento para afetar um binário privilegiado e obter uma sessão com permissões de root quando as condições necessárias são atendidas.
Isso não significa que toda invasão de uma aplicação PHP resulte automaticamente em controle total do servidor. O sucesso depende da presença das vulnerabilidades, da disponibilidade dos componentes envolvidos e das condições de execução.
Quando a cadeia funciona, porém, o impacto pode ser amplo. Um invasor com privilégios administrativos pode modificar configurações, acessar informações sensíveis, criar mecanismos de persistência e comprometer outros serviços hospedados na mesma máquina.
Campanha identificada reforça o alerta para administradores
Relatos publicados em outubro de 2026 pela Dream Security apontam uma campanha que teria utilizado a combinação de PHP2Shell e Fragnesia para comprometer 25 servidores em diferentes países.
Segundo as informações divulgadas sobre a investigação, 24 dos equipamentos afetados seriam firewalls de perímetro. O caso chama a atenção porque esses dispositivos frequentemente ocupam posições estratégicas nas redes corporativas, controlando o tráfego entre ambientes internos e externos.
A identificação de tentativas contra servidores Apache também reforça a importância de revisar aplicações PHP expostas à internet.
É necessário, entretanto, distinguir tentativas de exploração de comprometimentos efetivamente confirmados. Registros de honeypots ajudam a identificar comportamentos suspeitos, mas não demonstram isoladamente que um invasor obteve acesso root.
Para equipes de segurança, o valor desses relatos está em orientar a investigação e ajudar a priorizar sistemas expostos, sem substituir a análise dos registros e das evidências de cada ambiente.
Como proteger servidores Linux contra a Fragnesia
A principal medida é instalar as correções disponibilizadas pelos mantenedores do kernel e verificar se o sistema está executando uma versão protegida. A atualização precisa considerar a distribuição utilizada e o pacote específico instalado.
1. Verifique o kernel em execução
Execute o comando abaixo para identificar a versão do kernel carregado:
uname -rEm seguida, consulte os avisos de segurança da distribuição para verificar se essa versão contém a correção da CVE-2026-46300.
Não confie apenas no número exibido pelo comando. Confirme também se há atualizações pendentes e se o sistema foi reiniciado após a instalação de um kernel corrigido, quando necessário.
2. Atualize o sistema operacional
Utilize o gerenciador de pacotes da distribuição para instalar as atualizações recomendadas. Em servidores de produção, planeje a manutenção de acordo com a criticidade dos serviços e os requisitos de disponibilidade.
Se a atualização imediata não for possível, consulte as orientações específicas do fornecedor sobre medidas temporárias de mitigação. A desativação de módulos envolvidos na vulnerabilidade pode ser uma alternativa em determinados ambientes, mas precisa ser avaliada cuidadosamente para evitar a interrupção de funcionalidades essenciais.
3. Corrija as aplicações PHP
Atualize o PHP e os componentes afetados pelas vulnerabilidades associadas ao PHP2Shell. Revise também plugins, bibliotecas e permissões das aplicações web.
Quando houver suspeita de exploração, investigue os registros do Apache, do PHP e do sistema operacional. Procure processos desconhecidos, alterações inesperadas em arquivos, novas contas e conexões incomuns.
Se houver evidências de comprometimento com privilégios de root, considere o servidor potencialmente comprometido por completo. Nesse caso, atualizar o kernel não basta: pode ser necessário isolar o equipamento, preservar evidências, substituir credenciais e reconstruir o sistema a partir de uma instalação confiável.
Conclusão
A exploração da Fragnesia (CVE-2026-46300) em conjunto com o PHP2Shell demonstra como uma vulnerabilidade em uma aplicação web pode se transformar em um incidente muito mais grave quando existe uma falha adicional no kernel Linux.
A inclusão da CVE no catálogo KEV da CISA reforça a necessidade de priorizar a correção em sistemas expostos e verificar a existência de sinais de comprometimento. Administradores devem revisar tanto o kernel quanto as aplicações PHP, sem presumir que a atualização de apenas um desses componentes seja suficiente.
Verifique agora as atualizações dos seus servidores Linux e compartilhe este alerta com sua equipe de infraestrutura e segurança. A aplicação de correções e a investigação preventiva são medidas essenciais para reduzir o risco de comprometimento administrativo.
