Fragnesia y PHP2Shell: la segunda etapa que convierte un web shell en root

La mayoría de los análisis sobre un shell web lo tratan como el final de la historia: alguien entró, aquí está el payload, parchea el dispositivo. Fragnesia es lo que ocurre después. CVE-2026-46300 es una escalada de privilegios local en el kernel de Linux, divulgada en mayo de 2026 con una prueba de concepto pública y añadida al catálogo de Vulnerabilidades Explotadas Conocidas de la CISA el 28 de octubre, y la razón por la que finalmente entró en esa lista es que los atacantes la han estado utilizando como la segunda mitad de una cadena cuya primera mitad es el fallo PHP2Shell sobre el que escribimos el 23 de octubre.

El resultado, según el informe de Dream Security sobre la campaña: 25 servidores comprometidos con acceso root en Estados Unidos, Japón, Taiwán y Corea del Sur, incluida una red vinculada al Gobierno de EE. UU. Una shell web en un dispositivo expuesto a Internet constituye un punto de apoyo; el fallo del kernel es lo que la convierte en una máquina que el atacante controla en el máximo nivel de privilegios, sin que las protecciones propias del dispositivo supongan ya un obstáculo.

Qué es Fragnesia

La entrada del catálogo de CISA describe CVE-2026-46300 como una vulnerabilidad «Linux Kernel Missing Initialization of a Variable». El análisis de Tenable la sitúa en la ruta ESP-in-TCP del kernel —el código xfrm que transporta tráfico IPsec sobre TCP— y la clasifica como una escalada de privilegios local. Una variable que se utiliza antes de inicializarse por completo permite que un atacante local influya en el estado del kernel, y la prueba de concepto publicada alcanza root.

Dos propiedades lo vuelven peligroso en combinación más que por sí solo:

• Es una local escalada. Requiere primero ejecución de código en la máquina, por lo que no es un CVE de primera plana por sí solo y por lo que es devastadora como segunda etapa.

• La prueba de concepto es pública desde mayo. No ha habido ningún lapso en el que un atacante necesitara desarrollar algo, solo un lapso en el que los defensores necesitaban aplicar una actualización del kernel sobre la que ya se les había avisado.

Esa brecha entre una divulgación de mayo y una incorporación a KEV en octubre es lo que merece la pena sopesar con calma. KEV registra la explotación observada, no la divulgación. Una vulnerabilidad puede permanecer en un estado cercano al catálogo durante cinco meses y luego cruzar el umbral en cuanto alguien arma en torno a ella una cadena fiable.

La cadena, en orden

PHP2Shell es la mitad de entrada: CVE-2026-109618 y CVE-2026-109619, explotadas en interfaces de administración de Palo Alto Networks expuestas a Internet, que es la clase de appliances PHP y no la clase de productos de seguridad de red que la gente imagina al oír el nombre del proveedor. El shell web le da al atacante ejecución de código como el usuario web sobre la base Linux del appliance.

Fragnesia es la mitad de salida: desde ese contexto sin privilegios, el fallo del kernel alcanza root. Una vez obtenido root, el atacante ya no se enfrenta a una aplicación: los registros del dispositivo, su configuración, sus claves y los túneles que termina son todos legibles y editables. En un firewall, esa es la diferencia entre "un servicio está comprometido" y "el perímetro está comprometido".

La razón por la que esta combinación importa más que cualquiera de las dos CVE es que los proveedores de dispositivos son lentos a la hora de aplicar parches por razones estructurales: el firmware se distribuye como una imagen, la actualización requiere una ventana de mantenimiento y en el campo hay una larga cola de dispositivos que nadie actualizará jamás. Una cadena que no necesita desarrollar un nuevo exploit y que alcanza dispositivos que se quedan rezagados es una cadena que seguirá funcionando.

¿Qué hace que esto sea una historia en lugar de una nota al pie?

Tres cosas, ordenadas según cuánto deberían cambiar tu semana.

En primer lugar, la campaña cruzó sectores y fronteras en una sola operación, lo que es la característica de un escaneo de infraestructura y no de una intrusión dirigida. Veinticinco hosts en cuatro países es lo que parece un exploit exitoso cuando se ejecuta como un barrido.

En segundo lugar, una de las redes comprometidas se describe como afiliada al gobierno de EE. UU. Es por eso que CISA añadió la vulnerabilidad del kernel en un plazo de un día tras el informe, en lugar de seguir su cadencia habitual, y también es la razón por la que la entrada existe siquiera: el catálogo es una lista para defensores, no para investigadores.

Tercero, los informes sobre la campaña señalan que las herramientas de IA podrían haber contribuido a la intrusión. Esa afirmación no está establecida, y la lectura honesta es que se trata de una hipótesis vinculada a una operación rápida y contra múltiples objetivos, más que de un hallazgo para el que alguien haya publicado pruebas. Vale la pena seguirlo porque es la tercera vez este mes que una noticia de seguridad termina con "y posiblemente lo hizo un agente" — y las dos primeras, el descubrimiento de Brotli y la prueba de concepto de TCP en Linux, estaban documentadas en lugar de ser especulaciones.

Qué revisar

• Versión del kernel en cualquier host Linux que termina el tráfico público, especialmente appliances. Fragnesia necesita un kernel anterior a la corrección, y la corrección ha estado disponible desde la divulgación de mayo.

• La ruta ESP-in-TCP específicamente. Si no ejecuta IPsec sobre TCP, deshabilitar los módulos relevantes elimina la superficie de ataque — la misma familia de mitigación utilizada para los errores de fragmentación anteriores, y documentada por varios equipos universitarios de HPC como una medida provisional práctica.

• La clase {{1}}de dispositivo PHP{{/1}} para la mitad de entrada. Cualquier dispositivo cuya interfaz de administración ejecute {{2}}PHP{{/2}} y sea accesible desde internet constituye la población de la que se seleccionó esta campaña.

• Si tu proceso de parcheo realmente llega a esos dispositivos. Esta es la pregunta que la campaña responde por ti: 25 hosts con root son una medida de cuántas personas no habían aplicado un parche del kernel de hace cinco meses.

Por qué estamos escribiendo esto ahora mismo

Nuestra entrada sobre PHP2Shell es la única página de la actual oleada de CVE que ha generado tráfico real: alrededor de 260 impresiones y tres clics en siete días, lo que es pequeño en términos absolutos y enorme en relación con las demás páginas de CVE de este blog, que tienen impresiones y ningún clic. Eso es una señal sobre la intención: quienes buscan una CVE con nombre quieren que se les explique el punto de entrada, y se quedan por la parte sobre lo que ocurre después.

Fragnesia es esa parte, y es la razón para tratar la ola como una cadena en lugar de una lista. Un lector que parchea PHP2Shell pero no el kernel ha cerrado la puerta y dejado la ventana abierta, y la campaña descrita esta semana tiene exactamente esa forma.

El OrcaRouter AI Incident Archive indexa incidentes como este cotejándolos con fuentes primarias, gravedad y confianza, que es la versión duradera de una historia que, de lo contrario, se recordaría como «un asunto de firewall de octubre».

Qué cambiaría este relato: evidencia de que la campaña de 25 servidores utilizó una escalada diferente a la de Fragnesia, o un informe técnico publicado que atribuya la intrusión a reconocimiento asistido por IA. Ninguno de los dos existe en el material disponible el 30 de octubre, y ambos son el tipo de afirmación que conviene etiquetar como abierta en lugar de resolverla por implicación.

Nota de fuentes: la adición a KEV del 28 de octubre y el título del catálogo provienen de la alerta de CISA de la misma fecha. El mecanismo ESP-in-TCP, la clasificación de escalada de privilegios locales y la divulgación de mayo de 2026 con una prueba de concepto pública provienen del análisis de Tenable y del registro CVE. La cifra de 25 servidores, los cuatro países y la red vinculada al gobierno de EE. UU. provienen del informe de campaña de Dream Security, tal como se resume en prensa especializada en seguridad. Los números CVE de PHP2Shell y la clase de interfaz afectada provienen de nuestra propia cobertura del 23 de octubre y de sus fuentes. La afirmación de que «las herramientas de IA podrían haber ayudado» procede de la cobertura de prensa de la campaña y no está confirmada explícitamente. Nuestras cifras de tráfico provienen de Search Console para los siete días que terminaron el 29 de octubre.