PHP2Shell kedjas med Linux-sårbarheten Fragnesia för att få root

Den 28 oktober lade den amerikanska myndigheten CISA till Linux-sårbarheten Fragnesia (CVE-2026-46300) i sin lista över sårbarheter som utnyttjas aktivt. Enligt CISA kan den kedjas med de kritiska PHP-sårbarheterna PHP2Shell (CVE-2026-109618 och CVE-2026-109619) för att placera PHP-webbskal på servrar och köra kommandon som root.

Vi har tidigare skrivit om de kritiska sårbarheterna i PHP och om att PHP2Shell nu utnyttjas i det vilda. Det nya är att angripare inte nöjer sig med att köra kod som webbserverns användare. Med Fragnesia tar de sig vidare till full kontroll över servern.

Vad är Fragnesia?

Fragnesia är ett logikfel i Linux-kärnans hantering av ESP-in-TCP, en del av kärnans IPsec-stöd. En lokal användare utan särskilda rättigheter kan använda felet för att skriva i kärnans sidcache och på så sätt ändra innehållet i filer den bara har läsrättighet till. Resultatet är root-rättigheter. Enligt Ubuntu kan felet eventuellt även användas för att ta sig ut ur en container.

Sårbarheten publicerades i maj 2026 av forskaren William Bowling, tillsammans med en kärnpatch och ett publikt exploit. Den liknar sårbarheten Dirty Frag från samma månad, men är ett separat fel som kräver en egen patch. NVD ger den 7,8 av 10 i CVSS, och Ubuntu klassar den som hög prioritet.

Fragnesia kan inte utnyttjas på distans på egen hand. Angriparen måste redan kunna köra kod på servern, och det är precis vad PHP2Shell ger.

Kampanjen mot brandväggar

Kedjan upptäcktes av säkerhetsföretaget Dream, som beskrev den den 26 oktober. Angriparna riktade in sig på brandväggar från en stor, icke namngiven tillverkare, vars administrationsgränssnitt var åtkomliga från internet. Brandväggarna körde PHP 8.0.30, och en äldre gren PHP 7.4.33. Båda är versioner som inte längre får säkerhetsuppdateringar från PHP-projektet.

Enligt Dream gick angreppet till så här:

Angriparna hittade omkring 19 000 brandväggar via en sökmotor för internetanslutna enheter och valde ut 240 mål i USA, Japan, Taiwan och Sydkorea.
Med ett eget, icke-publikt PHP2Shell-exploit fick de köra kod som webbserverns användare.
Med Fragnesia skrev de över PAM-konfigurationen för su i sidcachen, så att su root fungerade utan lösenord. SELinux stoppade inte detta.
På varje brandvägg de tog över placerade de ett litet PHP-webbskal som kör kommandon som root.

Totalt tog angriparna över 24 brandväggar och en intern administrationsserver den 23–24 oktober, däribland servrar i en miljö med koppling till den amerikanska staten. Dream ser kopplingar till aktörer med anknytning till Kina men pekar inte ut någon specifik grupp. Tenable påpekar att de inte själva har kunnat bekräfta uppgifterna.

Vad betyder det för din webbserver?

Kampanjen gällde brandväggar, inte webbutiker. Men förutsättningarna finns på många vanliga webbservrar: en webbapplikation i PHP som går att nå från internet, och en Linux-kärna som inte har fått patchen för Fragnesia. Den som lyckas utnyttja PHP2Shell på en sådan server kan sedan ta sig till root.

Det gör att en sårbarhet i PHP blir ännu allvarligare. Med root kan en angripare läsa alla filer och databaser på servern, dölja sina spår och ta sig vidare i nätverket. Att PHP-processen körs som en begränsad användare skyddar inte längre lika bra.

Ubuntu har släppt rättade kärnor för alla versioner som stöds:

Ubuntu 26.04 LTS: 7.0.0-22.22
Ubuntu 25.10: 6.17.0-35.35
Ubuntu 24.04 LTS: 6.8.0-124.124 (HWE-kärnan 6.17.0-35.35~24.04.1)
Ubuntu 22.04 LTS: 5.15.0-181.191 (HWE-kärnan 6.8.0-124.124~22.04.1)

Ubuntu 20.04 med standardkärnan påverkas inte. Kör du 20.04 med HWE-kärnan 5.15 påverkas du däremot, och där finns rättningen bara via Ubuntu Pro. Kontrollera även andra distributioner hos respektive leverantör.

Vad ska du göra?

Uppdatera PHP. Se till att du kör en version som är rättad mot PHP2Shell och starta om PHP-FPM eller webbservern. Kör du PHP 8.1 eller äldre får du inga säkerhetsuppdateringar alls och bör uppgradera.
Uppdatera kärnan och starta om. På Ubuntu installeras rättningen med sudo apt update && sudo apt upgrade och aktiveras först efter sudo reboot. Även med automatiska uppdateringar krävs en omstart. Kontrollera vilken kärna som faktiskt körs med uname -r.
Tillfällig åtgärd om du inte kan starta om direkt. Ubuntu beskriver samma åtgärd som för Dirty Frag: att blockera kärnmodulerna esp4, esp6 och rxrpc. Det skyddar mot båda sårbarheterna men slår ut IPsec-VPN som StrongSwan.
Leta efter spår av intrång. Sök efter okända PHP-filer i publika kataloger och kontrollera att filer som /etc/pam.d/su inte har ändrats. CISA kräver att myndigheter som omfattas gör en forensisk genomgång, inte bara patchar.
Exponera inte administrationsgränssnitt. Gränssnitt för administration av servrar, brandväggar och andra enheter bör inte vara åtkomliga från hela internet.

Så kan vi hjälpa till

Vår hosting körs på servrar i Finland och driftas inom EU, här i Norden. Vi håller systemet uppdaterat, och med ett serviceavtal håller vi dessutom din butik och dina moduler uppdaterade och agerar när en sårbarhet som den här dyker upp. Hör av dig om du är osäker på om din server är påverkad.

Källor

Av Robert

← Alla blogginlägg