Linux: luka Fragnesia pomaga uzyskać uprawnienia root po ataku PHP2Shell

28 października opisano wykorzystywanie luki jądra Linuksa CVE-2026-46300 razem z podatnościami PHP2Shell do uzyskiwania uprawnień root. Tego samego dnia luka trafiła do katalogu aktywnie wykorzystywanych podatności CISA. To nowy element sprawy PHP2Shell: administratorzy powinni zweryfikować również stan jądra systemu.

Co nowego ustalono

SecurityWeek opisał ustalenia firmy Dream dotyczące łączenia CVE-2026-109618 i CVE-2026-109619 w PHP z podatnością Fragnesia w Linuksie. Według badaczy napastnicy wykorzystywali ten łańcuch do uzyskania uprawnień root na zaporach i umieszczania skryptów zapewniających dalszy dostęp.

Osobna analiza Oktsec odnotowuje dodanie CVE-2026-46300 do katalogu CISA 28 października oraz powiązanie jej z tymi dwiema lukami PHP. Nowa informacja dotyczy wykorzystania znanej wcześniej podatności jądra; sama luka została opublikowana wcześniej.

Dlaczego aktualizacja PHP nie kończy sprawy

Fragnesia dotyczy przetwarzania buforów sieciowych w jądrze i może umożliwiać lokalne podniesienie uprawnień. W opisanym łańcuchu stanowi kolejny etap po uzyskaniu dostępu przez PHP.

Z punktu widzenia administratora oznacza to konieczność osobnego sprawdzenia dwóch warstw: środowiska PHP oraz jądra systemu. Ocena musi uwzględniać poprawki dostawcy dystrybucji, które mogą być przenoszone do utrzymywanych pakietów bez przechodzenia na najnowszą główną wersję jądra.

Potwierdzenie ataków nie oznacza, że każdy serwer z Linuksem został naruszony. Zakres zagrożenia trzeba ustalić dla konkretnej instalacji.

Co zrobić teraz

• Sprawdź u dostawcy systemu status CVE-2026-46300 i dostępność właściwego pakietu.
• Zweryfikuj poprawki PHP niezależnie od aktualizacji jądra.
• Po aktualizacji uruchom poprawione jądro zgodnie z procedurą dystrybucji i sprawdź wersję faktycznie działającą.
• W przypadku urządzeń sieciowych korzystaj z oprogramowania producenta i jego instrukcji aktualizacji.
• Jeśli podejrzewasz włamanie, zabezpiecz dostępne ślady i zbadaj nieoczekiwane pliki, procesy oraz zmiany uprawnień. Sama poprawka nie usuwa skutków wcześniejszego dostępu napastnika.

Komentarz SecurHUB

Łączenie podatności pokazuje, dlaczego usuwanie pojedynczej luki powinno uwzględniać cały zagrożony system. Obsługa incydentów bezpieczeństwa może pomóc ustalić zakres naruszenia i przygotować działania naprawcze na podstawie zebranych dowodów.

Źródła: SecurityWeek, Oktsec, Breach Briefing