CISA ordena a las agencias federales parchear la falla de Linux Fragnesia encadenada con PHP2Shell

Qué pasó

• CVE-2026-46300, conocida como Fragnesia, es un error de lógica en el subsistema XFRM ESP-in-TCP de Linux que permite a los atacantes ejecutar código malicioso con permisos de root, según CISA.
• Fragnesia pertenece a la clase de vulnerabilidades Dirty Frag y cuenta con un exploit de prueba de concepto que los atacantes locales pueden usar para obtener root en las principales distribuciones de Linux con kernels publicados antes del 13 de mayo de 2026.
• CISA añadió CVE-2026-46300 a su catálogo de Vulnerabilidades Explotadas Conocidas el miércoles y ordenó a las agencias federales parchear antes del sábado en virtud de la Directiva Operativa Vinculante 26-04.
• CISA afirmó que la falla puede encadenarse con CVE-2026-109618 y CVE-2026-109619, rastreadas colectivamente como PHP2Shell, para implantar webshells de PHP y ejecutar comandos como root.
• Analistas de Dream Security informaron que la cadena PHP2Shell combinada con Fragnesia se usó en una campaña que comprometió 25 servidores en Estados Unidos, Japón, Taiwán y Corea del Sur, incluidos tres en un entorno afiliado al gobierno de EE. UU.
• CISA añadió las fallas de PHP2Shell a su lista de vulnerabilidades explotadas activamente el lunes y exigió a las agencias del Poder Ejecutivo Civil Federal asegurar sus redes antes del jueves.
• El ingeniero de seguridad de Perplexity Adel Karimi informó de explotación en el mundo real después de que honeypots registraran ejecución remota de código contra una instalación de Apache mod_php con PHP 8.4.26.

Por qué importa

Las agencias federales tienen como plazo el sábado para parchear una falla del kernel que los investigadores vinculan con una campaña activa que obtuvo root en 25 servidores, incluidos tres en un entorno afiliado al gobierno de EE. UU.

Qué se desconoce

CISA no divulgó detalles de los ataques de Fragnesia en curso. La cifra de la campaña de 25 servidores y los tres servidores afiliados al gobierno provienen del informe de Dream Security y no han sido confirmados de forma independiente. La observación del honeypot de Karimi es el relato de un solo investigador.