A Cybersecurity and Infrastructure Security Agency dos Estados Unidos (CISA) alertou órgãos federais para corrigir uma falha de alta gravidade no kernel do Linux que permite escalada de privilégios. Em ataques reais, agentes de ameaça estão combinando essa vulnerabilidade com as falhas PHP2Shell.
Identificada como CVE-2026-46300 e apelidada de Fragnesia, a vulnerabilidade decorre de um erro lógico no subsistema XFRM ESP-in-TCP do Linux. A falha permite que invasores executem código malicioso com privilégios de root.
Fragnesia faz parte da classe de vulnerabilidades Dirty Frag e conta com um exploit de prova de conceito (PoC). Invasores com acesso local podem usá-lo para obter privilégios de root nas principais distribuições Linux com kernels lançados antes de 13 de maio de 2026.
Na quarta-feira, a CISA incluiu a CVE-2026-46300 no catálogo Known Exploited Vulnerabilities (KEV) e determinou que os órgãos federais corrigissem seus sistemas até sábado, dia 10, conforme a Binding Operational Directive (BOD) 26-04.
A agência não divulgou detalhes sobre os ataques em andamento envolvendo Fragnesia. No entanto, observou que agentes de ameaça podem combiná-la com duas vulnerabilidades críticas do PHP, CVE-2026-109618 e CVE-2026-109619, conhecidas em conjunto como PHP2Shell, para instalar web shells em sistemas sem correção.
“Esta vulnerabilidade pode ser combinada com as CVE-2026-109618 e CVE-2026-109619 para instalar web shells em servidores PHP e executar comandos com privilégios de root”, afirmou a CISA.
Embora a CISA não tenha fornecido mais informações sobre o uso combinado das falhas Fragnesia e PHP2Shell por invasores, analistas da Dream Security disseram, em um relatório divulgado na segunda-feira, que as vulnerabilidades foram usadas para comprometer mais de duas dezenas de servidores. Três deles pertenciam a uma organização ligada ao governo dos Estados Unidos.
“Pesquisadores da Dream identificaram uma operação de ataque completa, que incluía uma adaptação personalizada da cadeia de exploits PHP2Shell (CVE-2026-109618/CVE-2026-109619) combinada com a escalada de privilégios no kernel possibilitada por Fragnesia (CVE-2026-46300), listas de alvos, registros de exploração e cerca de 40 scripts personalizados para atividades pós-invasão”, disseram os analistas.
“Também foram encontrados vestígios de uma campanha que obteve privilégios de root em 25 servidores nos Estados Unidos, no Japão, em Taiwan e na Coreia do Sul. Depois de obter acesso de root, o invasor se concentrou em três servidores específicos de um ambiente ligado ao governo dos Estados Unidos.”
Na segunda-feira, a CISA também incluiu as falhas PHP2Shell em sua lista de vulnerabilidades exploradas ativamente e determinou que órgãos do Poder Executivo Civil Federal (FCEB) protegessem suas redes até quinta-feira.
A agência ainda não divulgou mais detalhes sobre os ataques em andamento envolvendo PHP2Shell. No fim de semana, porém, o engenheiro de segurança da Perplexity Adel Karimi confirmou a exploração da falha em ataques reais, depois que honeypots da empresa registraram evidências de execução remota de código em uma instalação do Apache mod_php com PHP 8.4.26.
Segundo o BleepingComputer, um porta-voz da CISA não pôde fornecer de imediato mais informações sobre a possível combinação de Fragnesia e PHP2Shell em ataques. A publicação procurou a agência mais cedo nesta terça-feira.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...