CISA confirmó que los atacantes combinan las fallas PHP2Shell con Fragnesia, una vulnerabilidad del kernel de Linux, para obtener el control total de servidores y firewalls. Qué actualizar y cómo revisar.
Los ataques contra servidores web con las fallas PHP2Shell dieron un paso más. El 28 de octubre de 2026, la agencia de ciberseguridad de Estados Unidos (CISA) agregó Fragnesia (CVE-2026-46300), una falla del kernel de Linux, a su catálogo de vulnerabilidades explotadas, y advirtió que los atacantes la encadenan con PHP2Shell para instalar puertas traseras en PHP (web shells) y ejecutar comandos como root, el usuario con control total del servidor.
Qué es Fragnesia
Es una falla de escalamiento de privilegios en el subsistema XFRM ESP-in-TCP del kernel de Linux, con una severidad de 7,8 sobre 10 según NVD, la base oficial de vulnerabilidades de Estados Unidos. Permite que un usuario sin privilegios modifique en la memoria archivos del sistema que deberían ser de solo lectura, como el programa /usr/bin/su, y así se convierta en root. Se divulgó el 13 de mayo de 2026 con un parche propuesto para el kernel, y desde entonces hay código de ataque público.
Por qué agrava los ataques a PHP
Con PHP2Shell (CVE-2026-109618 y CVE-2026-109619), el atacante ejecuta código en el servidor, pero solo con los permisos limitados del servicio web. Fragnesia agrava el daño: con ese acceso inicial se vuelve root y puede borrar rastros, instalar programas o saltar a otros equipos de la red. La firma Dream documentó una campaña que tomó el control total de 25 equipos en Estados Unidos, Japón, Taiwán y Corea del Sur con unos 40 scripts propios: firewalls Palo Alto Networks con el sistema PAN-OS y un servidor de gestión de firewalls, atacados por su interfaz de administración.
Quién está expuesto
Cualquier servidor Linux con un kernel sin la corrección de mayo. Fragnesia es una falla distinta de Dirty Frag, otra de la misma familia, y tiene su propio parche: haber corregido Dirty Frag no basta. Red Hat y AlmaLinux publicaron kernels corregidos en mayo; en Ubuntu, Debian y las demás distribuciones, revisa sus avisos de seguridad.
Qué hacer
- Confirma que PHP esté en 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o en una versión superior.
- Si tienes firewalls Palo Alto Networks o Panorama, aplica las versiones corregidas de PAN-OS que indica el aviso del fabricante y no dejes la interfaz de administración expuesta a internet.
- Actualiza el kernel desde los repositorios de tu distribución y reinicia el servidor: el kernel nuevo solo entra en funcionamiento después del reinicio, salvo que uses parches en caliente como KernelCare.
- Si todavía no puedes reiniciar, descarga y bloquea los módulos
esp4,esp6yrxrpc. Es una medida temporal; no la apliques si el servidor usa VPN IPsec. - Busca archivos PHP desconocidos, usuarios nuevos y tareas programadas que nadie creó desde el 20 de octubre.
Si quieres el detalle de las fallas de PHP y sus versiones corregidas, lee nuestra noticia sobre PHP2Shell, que actualizamos a medida que avanzan los ataques.
Actualización del 31 de octubre: firewalls Palo Alto
Revisamos esta noticia contra el informe original de Dream: los 25 equipos comprometidos eran firewalls Palo Alto Networks con PAN-OS y un servidor de gestión, no servidores web comunes. Palo Alto publicó un aviso con las versiones de PAN-OS que corrigen el impacto de PHP2Shell en sus productos, así que, si tienes estos equipos, actualízalos y limita el acceso a su interfaz de administración.
Cómo te ayudamos
Con la administración de infraestructura TI de Pronetsys aplicamos los parches del sistema operativo y de PHP, programamos los reinicios en horarios de bajo impacto y revisamos los servidores en busca de rastros de ataque. Si administras tu propio servidor Linux y necesitas apoyo, escríbenos.
Fuentes
- CISA: Fragnesia en el catálogo de vulnerabilidades explotadas (28 de octubre de 2026)
- Dream: la campaña que encadenó PHP2Shell y Fragnesia (26 de octubre de 2026, actualizado el 29)
- Palo Alto Networks: impacto de las fallas de PHP en PAN-OS (21 de octubre de 2026, actualizado el 29)
- NIST NVD: ficha de CVE-2026-46300
- oss-security: divulgación de Fragnesia (13 de mayo de 2026)
- AlmaLinux: kernels corregidos para Fragnesia (13 de mayo de 2026)
- Red Hat: ficha de CVE-2026-46300 (mayo de 2026)
Fuente: BleepingComputer
