Американское агентство CISA внесло уязвимость Fragnesia в каталог активно эксплуатируемых угроз KEV: её связывают с критическими багами PHP2Shell, чтобы превратить удалённое выполнение кода на веб-сервере в доступ с правами root. Для российских команд это не чужая бюрократическая история: связка бьёт по типичному стеку Apache + mod_php + Linux, который всё ещё встречается в корпоративных и публичных сервисах.
Речь идёт о CVE-2026-46300 — ошибке высокой опасности в ядре Linux, известной как Fragnesia. Как сообщает BleepingComputer, проблема находится в подсистеме XFRM ESP-in-TCP и позволяет локальному атакующему выполнить код с максимальными привилегиями. Уязвимость относится к классу Dirty Frag; для неё уже опубликован proof-of-concept, работающий против основных дистрибутивов с ядрами, выпущенными до 13 мая 2026 года.
Сама по себе Fragnesia требует локального доступа, и это важная деталь для оценки риска. Но в реальной атаке «локально» часто означает «после первого взлома веб-приложения». Эту точку входа дают две критические PHP-уязвимости — CVE-2026-109618 и CVE-2026-109619, объединённые под названием PHP2Shell. Если сервер с Apache mod_php остаётся без обновлений, злоумышленник может получить удалённое выполнение кода, а затем использовать Fragnesia для эскалации привилегий до root. На выходе — возможность поставить веб-шелл, выполнять команды и закрепиться в системе.
CISA добавило CVE-2026-46300 в KEV 28 октября и предписало федеральным ведомствам США закрыть дыру до 10 ноября в рамках обязательной директивы BOD 26-04. За два дня до этого агентство внесло в тот же каталог и обе уязвимости PHP2Shell, установив для федеральных гражданских органов дедлайн до 5 ноября. KEV — не список теоретически неприятных CVE: туда попадают уязвимости, для которых есть подтверждения эксплуатации. Поэтому сроки здесь измеряются не кварталами планового патчинга, а днями.
Независимые следы кампании уже есть. Аналитики Dream Security сообщили об операции, в которой обнаружили кастомизированную реализацию цепочки PHP2Shell и Fragnesia, списки целей, журналы эксплуатации и около 40 сценариев для действий после взлома. Исследователи насчитали 25 скомпрометированных серверов в США, Японии, Тайване и Южной Корее. После получения root-доступа атакующие отдельно сосредоточились на трёх серверах в среде организации, связанной с правительством США.
Подтверждение активности PHP2Shell пришло и от инженера по безопасности Perplexity Аделя Карими: его honeypot-системы зафиксировали попытки удалённого выполнения кода против Apache mod_php с PHP 8.4.26. При этом CISA пока не раскрывает ни предполагаемую группировку, ни полный технический сценарий атак. Для защитников отсутствие публичного профиля противника не меняет главного: известны уязвимости, известна рабочая цепочка и есть признаки целевого закрепления на уже взломанных хостах.
Практический приоритет для инфраструктурных команд — не ограничиваться обновлением PHP. Нужно проверить версии ядра Linux и наличие исправлений от поставщика дистрибутива, обновить PHP для устранения обеих CVE PHP2Shell, а затем поискать следы уже состоявшегося компромисса. В первую очередь стоит проверить публично доступные Apache-серверы с mod_php, неожиданные PHP-файлы в webroot, подозрительные дочерние процессы веб-сервера, задания cron, новые SSH-ключи и нестандартные учётные записи. Простое закрытие входной дыры не удалит веб-шелл и не отменит root-доступ, если атакующий успел пройти вторую стадию.
Для разработчиков это ещё один неприятный, но полезный аргумент против отношения к веб-серверу как к «обвязке, которую трогать опасно». Связка PHP2Shell и уязвимости Fragnesia показывает, как две разные зоны ответственности — прикладной рантайм и ядро ОС — складываются в полный захват машины. Вероятно, такие комбинированные цепочки будут всё чаще определять приоритеты патчинга: критичность отдельной CVE важна, но решающим становится вопрос, с чем её можно соединить уже сейчас.
