✨︎ Resumen (TL;DR):
- CISA agregó el 28 de octubre de 2026 CVE-2026-46300, Fragnesia, a su catálogo de vulnerabilidades explotadas.
- La cadena une las fallas PHP2Shell CVE-2026-109618 y CVE-2026-109619 con una escalada de privilegios hasta root.
- Las agencias civiles federales de Estados Unidos tienen hasta el 29 de octubre para corregir PHP y hasta el 31 de octubre para atender Fragnesia, además de realizar una revisión forense.
CISA añadió el 28 de octubre de 2026 CVE-2026-46300, conocida como Fragnesia, a su catálogo de vulnerabilidades explotadas. La agencia advierte que esta falla del kernel de Linux puede combinarse con las dos vulnerabilidades de PHP2Shell para instalar puertas traseras en servidores web y ejecutar comandos como root, la cuenta con mayores privilegios del sistema.
El registro amplía la revisión más allá de PHP: también importa el kernel que ejecuta el equipo. PHP2Shell es el nombre de las dos fallas de PHP, CVE-2026-109618 y CVE-2026-109619, que pueden permitir ejecución remota de código sin autenticación.
Fragnesia es una vulnerabilidad del kernel de Linux que permite a un atacante con acceso local elevar sus privilegios. Red Hat describe esa condición como una vía de escalada, no como la entrada remota que contempla la alerta sobre PHP.
La cadena pasa de PHP al kernel
CISA había incorporado el 26 de octubre las dos fallas de PHP a su catálogo. El cambio llegó después de la alerta del día 21, cuando la agencia decía que todavía no había observado su explotación.
La secuencia que CISA describe tiene dos etapas:
- Acceso inicial: PHP2Shell puede permitir la ejecución remota de código sin autenticación en el servidor web.
- Escalada local: Fragnesia permite que un atacante con acceso local eleve sus privilegios hasta root.
La exposición a Fragnesia depende del kernel y del producto afectados. Por sí sola, la falla de Linux no constituye la entrada remota descrita para PHP. La cadena necesita ambas etapas para alcanzar el control con los mayores privilegios del sistema.
La firma de seguridad Dream afirmó haber encontrado registros de una operación que comprometió 24 cortafuegos y, después, un servidor de administración, para un total de 25 sistemas. SecurityWeek reseñó esa investigación, que atribuye la entrada a PHP2Shell y la elevación de privilegios a Fragnesia.
Dream no identificó públicamente al fabricante de los equipos. El total de 25 sistemas corresponde a esa investigación, no a una cifra general de CISA sobre todos los ataques.
Fechas de corrección y revisión forense
El catálogo de CISA fija el 29 de octubre de 2026 como fecha de remediación para las dos fallas de PHP y el 31 de octubre de 2026 para Fragnesia. Las tres entradas también marcan como necesaria una revisión forense conforme a la directiva BOD 26-04.
Estas obligaciones corresponden a las agencias civiles federales de Estados Unidos. Para el resto de las organizaciones, CISA alienta a priorizar las vulnerabilidades del catálogo según el riesgo que representen.
PHP publicó el 21 de octubre las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para Fragnesia, las organizaciones deben comprobar el estado del kernel con el proveedor de la distribución o del equipo. Red Hat publicó correcciones para sus productos afectados.
Actualizar PHP y el kernel resuelve problemas distintos. La revisión forense busca establecer si hubo acceso antes de aplicar esas correcciones.
