Уязвимость Fragnesia в Linux использовали для захвата 25 серверов
Уязвимость ядра Linux: Fragnesia (CVE-2026-46300), раскрытая в мае, использовалась в цепочке атак на 25 серверов. 28 октября CISA добавило её в каталог эксплуатируемых уязвимостей.
13 мая: Уильям Боулинг из V12 Security опубликовал уязвимость вместе с PoC и патчем для ядра. CVE-2026-46300 присвоили в тот же день. Это описано в разборе Tenable.1
Что это: Локальное повышение привилегий в подсистеме XFRM ESP-in-TCP. Любой локальный пользователь на уязвимом ядре может получить root. Оценка CVSS 7.8. Об этом пишет Tenable.1
Как работает: Функция skb_try_coalesce() теряет флаг SKBFL_SHARED_FRAG при объединении фрагментов. Из-за этого ESP-in-TCP расшифровывает данные прямо поверх страниц кэша, а не в отдельной копии. Механизм разобрали в PinkySpy.2
Результат: Непривилегированный пользователь может записать байты в кэш страниц файлов, доступных только для чтения, включая setuid-бинарники вроде /usr/bin/su. Сам файл на диске при этом не меняется. Об этом пишет LinuxTeck.3
Dirty Frag: Fragnesia входит в серию. Copy Fail раскрыли 29 апреля, Dirty Frag 7 мая, Fragnesia 13 мая. Хронологию приводит LinuxTeck.3 Патчи для Dirty Frag эту уязвимость не закрывают, нужен отдельный. Об этом сообщает Tenable.1
Кого касается: Публичный PoC работает только при включённой опции CONFIG_INET_ESPINTCP. Ядра без неё этот эксплойт не затрагивает, но сам дефект может быть доступен другими путями. Об этом пишет TuxCare.4 Red Hat выпустила исправления для RHEL 8, 9 и 10 20 мая, RHEL 6 и 7 не затронуты. Таблицу патчей приводит Rescana.5
Защита: До установки патча можно отключить модули esp4, esp6 и rxrpc. Команду приводит TuxCare.4
28 октября: CISA добавило CVE-2026-46300 в каталог KEV со сроком устранения до 31 октября. Об этом сообщает Safeguard.6
Цепочка атак: Dream Research сообщила, что злоумышленники связали Fragnesia с PHP2Shell и получили root на 25 серверах в США, Японии, Тайване и Южной Корее. PHP2Shell давал выполнение команд без аутентификации, а Fragnesia завершала повышение до root. Отчёт опубликован Dream Research.7 По данным BigGo, root достигался перезаписью конфигурации PAM. Об этом пишет BigGo Finance.8 Unit 42 сообщила, что проверила инструменты атакующего. Это отмечает Hunt.io.9
Исправление для Fragnesia существует с мая. Теперь уязвимость значится в списке эксплуатируемых.