Злоумышленники связали две критические уязвимости PHP с ошибкой Fragnesia в ядре Linux и взломали 25 доступных из интернета межсетевых экранов. На 24 устройствах они установили веб-шелл с правами главного администратора — скрытый инструмент для постоянного удалённого доступа.
Американское Агентство по кибербезопасности и защите инфраструктуры (CISA) 28 октября внесло Fragnesia, зарегистрированную как CVE-2026-46300, в каталог уязвимостей, которые уже используют в атаках. Федеральные гражданские ведомства США должны установить исправления до 31 октября и проверить, не была ли система взломана до обновления.
Fragnesia сама по себе не позволяет атаковать сервер через интернет: злоумышленнику сначала нужен доступ с ограниченными правами. В обнаруженной цепочке его обеспечивали две ошибки PHP2Shell — CVE-2026-109618 и CVE-2026-109619, позволявшие выполнить код на уязвимой установке PHP. Затем Fragnesia давала права главного администратора.
Читайте также
По данным Dream, израильской компании по кибербезопасности, которые приводит SecurityWeek, 23–24 октября атакующие отобрали 240 потенциальных целей в США, Японии, Тайване и Южной Корее и взломали 25 устройств. На двух межсетевых экранах в организации, связанной с правительством США, они создали обратный SSH-туннель, проникли на внутренний сервер управления, расшифровали пароль служебной учётной записи LDAP и пытались добавить скрытые учётные записи в Active Directory.
Исправления Fragnesia доступны в стабильных ветках ядра Linux с мая 2026 года. При этом уязвимы не все системы: Amazon Linux и Bottlerocket не затронуты, поскольку в них нет необходимого для атаки модуля espintcp.
Администраторам следует обновить PHP, ядро Linux и сборку производителя устройства. Для систем, которые были доступны из интернета без исправлений в конце октября, одной установки патчей недостаточно: необходимо проверить их на веб-шеллы, неизвестные SSH-туннели и новые учётные записи. Инструмент удалённого доступа, уже установленный с правами главного администратора, может сохраниться после обычного обновления.