Linux kernel CVE-2026-46300 "Fragnesia": escalation a root sfruttata in catena con PHP2Shell contro i firewall PAN-OS

La CISA ha inserito il 28 ottobre 2026 nel catalogo KEV la CVE-2026-46300, nota come Fragnesia: una escalation locale dei privilegi nel kernel Linux, con CVSS 7.8, che risiede nel sottosistema XFRM ESP-in-TCP, la parte dell'implementazione IPsec che incapsula il traffico ESP dentro una connessione TCP. Quando un socket TCP passa in modalità ESP-in-TCP con dati di un file già presenti nella coda di ricezione, il kernel li tratta come traffico cifrato e li decifra direttamente in memoria, modificando la page cache del file; manipolando i parametri del protocollo, un utente locale senza privilegi ottiene così una scrittura controllata su file che dovrebbero essere in sola lettura, fino all'esecuzione di codice come root. La falla era stata divulgata a metà maggio con una prova di concetto pubblica e ACN aveva pubblicato il proprio alert il 14 maggio; il 29 ottobre lo ha aggiornato per lo sfruttamento attivo rilevato in rete. Per le agenzie federali statunitensi la CISA ha fissato un termine di soli tre giorni, il 31 ottobre: un'indicazione di priorità che vale per chiunque gestisca sistemi Linux esposti.

Lo sfruttamento lo ha documentato Dream Research in un'analisi del 26 ottobre, aggiornata il 29. I ricercatori hanno recuperato gli strumenti di una campagna che descrivono come cinese e assistita dall'IA: una versione non pubblica dell'exploit per PHP2Shell (CVE-2026-109618 e CVE-2026-109619), adattata al server web dell'interfaccia di gestione di Palo Alto Networks PAN-OS, che dà l'esecuzione di codice con un utente senza privilegi, seguita da Fragnesia, che riscrive in memoria il file di configurazione PAM del comando su e apre l'accesso a root senza password. Secondo Dream la catena parte da una connessione HTTPS senza credenziali e arriva a una webshell persistente con privilegi di root in meno di quindici minuti. Dei circa 19.000 firewall PAN-OS con l'interfaccia di gestione esposta individuati dall'attaccante, ne sono stati selezionati 240 negli Stati Uniti, in Giappone, a Taiwan e in Corea del Sud, fino a 25 server compromessi; su due di questi, riconducibili a un ente legato al governo statunitense, l'attaccante ha aperto un tunnel SSH inverso verso la rete interna e ha estratto credenziali dai controller di dominio Active Directory. Unit 42 di Palo Alto Networks ha verificato in modo indipendente strumenti e risultati, e il 29 ottobre il vendor ha aggiornato il proprio advisory su PHP2Shell segnalando lo sfruttamento attivo contro interfacce di gestione esposte su Internet. Nella scheda KEV la CISA scrive che la CVE può essere concatenata alle due di PHP2Shell per installare webshell ed eseguire comandi come root. Il caso mostra bene il ruolo delle escalation locali: l'esecuzione di codice arrivava con un utente confinato da SELinux, ed è stato il kernel a trasformarla in controllo completo dell'apparato.

Fragnesia appartiene alla stessa famiglia di Copy Fail e Dirty Frag, le falle del kernel che corrompono la page cache divulgate fra aprile e maggio; secondo Hyunwoo Kim, che aveva scoperto Dirty Frag, citato da Wiz, è nata come effetto collaterale di una delle correzioni di Dirty Frag. Wiz segnala che l'exploit si appoggia agli user namespace non privilegiati e che le restrizioni AppArmor attive di default su Ubuntu ne rendono più difficile lo sfruttamento, senza impedirlo. Non è la prima volta che una escalation locale del kernel Linux entra in attacchi reali, come avevamo raccontato in un nostro precedente alert del 1° novembre 2025 sulla CVE-2024-1086 del kernel Linux sfruttata negli attacchi ransomware. Al momento non risultano vittime in Italia, e le analisi pubbliche citano solo i quattro paesi presi di mira dalla campagna. A doversene preoccupare sono anzitutto i gestori di server Linux condivisi fra più utenti, di cluster di container, dove la page cache è condivisa con l'host, di runner CI e di servizi che eseguono codice di terzi: ovunque un attaccante possa ottenere un accesso anche minimo, Fragnesia lo porta a root. Il caso PAN-OS aggiunge gli apparati di rete e di sicurezza basati su Linux, per i quali la correzione arriva solo con il firmware del vendor.

• Versioni affette: kernel Linux privi della correzione per la CVE-2026-46300; ACN conferma vulnerabili RHEL 8, 9 e 10 (kernel e kernel-rt), AlmaLinux 8, 9 e 10, Debian bullseye, bookworm, trixie, forky e sid nelle versioni elencate nell'alert, Red Hat OpenShift Container Platform 4. Debian ha pubblicato i kernel corretti 5.10.257-1 (bullseye), 6.1.174-1 (bookworm) e 6.12.90-1 (trixie). Coinvolti nella campagna osservata anche i firewall Palo Alto Networks PAN-OS dei rami 12.1 e 12.2 vulnerabili a PHP2Shell.
• Azione raccomandata: aggiornare il kernel alla versione corretta della propria distribuzione e riavviare. Dove l'aggiornamento non è subito possibile, impedire il caricamento dei moduli esp4, esp6 e rxrpc se non servono VPN IPsec né AFS, come indicato da ACN, e poi riavviare o svuotare la page cache: la mitigazione non annulla le modifiche in memoria eventualmente già fatte da un exploit. Valutare la limitazione degli user namespace non privilegiati. Per PAN-OS applicare le versioni indicate nell'advisory di Palo Alto Networks, togliere da Internet l'interfaccia di gestione e, se è stata esposta, cercare segni di compromissione come webshell, tunnel SSH e account anomali.

Fonti: ACN, CISA, Dream Research, Palo Alto Networks, Wiz, Debian