Fragnesia dan PHP2Shell: Tahap Kedua yang Mengubah Web Shell Menjadi Root

Sebagian besar liputan tentang web shell memperlakukannya sebagai akhir cerita: ada yang berhasil masuk, inilah payload-nya, tambal perangkatnya. Fragnesia adalah apa yang terjadi setelahnya. CVE-2026-46300 adalah eskalasi hak akses lokal di kernel Linux, diungkapkan pada Mei 2026 dengan proof of concept publik dan ditambahkan ke katalog Known Exploited Vulnerabilities milik CISA pada 28 Oktober, dan alasan mengapa akhirnya masuk daftar tersebut adalah bahwa penyerang telah menggunakannya sebagai paruh kedua dari rantai yang paruh pertamanya adalah cacat PHP2Shell yang kami tulis pada 23 Oktober.

Hasilnya, menurut laporan Dream Security tentang kampanye tersebut: 25 server di-root di Amerika Serikat, Jepang, Taiwan, dan Korea Selatan, termasuk satu jaringan yang terkait dengan pemerintah AS. Web shell pada perangkat yang menghadap internet adalah pijakan awal; bug kernel-lah yang mengubahnya menjadi mesin yang dikuasai penyerang pada tingkat hak istimewa tertinggi, dengan perlindungan bawaan perangkat tidak lagi menjadi penghalang.

Apa Itu Fragnesia

Entri katalog CISA menggambarkan CVE-2026-46300 sebagai kerentanan "Linux Kernel Missing Initialization of a Variable". Analisis Tenable menempatkannya di jalur ESP-in-TCP pada kernel — kode xfrm yang membawa lalu lintas IPsec melalui TCP — dan mengklasifikasikannya sebagai eskalasi hak istimewa lokal. Variabel yang digunakan sebelum diinisialisasi sepenuhnya memungkinkan penyerang lokal memengaruhi state kernel, dan proof of concept yang dipublikasikan berhasil mencapai root.

Dua sifat membuatnya berbahaya bila digabungkan, bukan dengan sendirinya:

• Ini adalah lokal eskalasi. Ini memerlukan eksekusi kode di mesin terlebih dahulu, yang membuatnya bukan CVE utama dengan sendirinya dan membuatnya sangat merusak sebagai tahap kedua.

• Bukti konsep telah dipublikasikan sejak Mei. Tidak ada jendela waktu di mana penyerang perlu mengembangkan apa pun — hanya jendela waktu di mana pihak pembela perlu menerapkan pembaruan kernel yang sudah diberitahukan kepada mereka.

Celah antara pengungkapan pada Mei dan penambahan ke KEV pada Oktober itulah yang perlu direnungkan. KEV mencatat eksploitasi yang teramati, bukan pengungkapan. Sebuah kerentanan dapat berada dalam kondisi yang berdekatan dengan katalog selama lima bulan lalu masuk begitu seseorang menyusun rantai yang andal di sekitarnya.

Rantai, sesuai urutan.

PHP2Shell adalah bagian pintu masuk: CVE-2026-109618 dan CVE-2026-109619, dieksploitasi pada antarmuka manajemen Palo Alto Networks yang terekspos ke internet, yaitu kelas perangkat PHP, bukan kelas produk keamanan jaringan yang biasa dibayangkan orang saat mendengar nama vendor tersebut. Web shell tersebut memberi penyerang eksekusi kode sebagai pengguna web pada basis Linux perangkat.

Fragnesia adalah separuh bagian keluar: dari konteks tanpa hak istimewa itu, bug kernel mencapai root. Setelah root, penyerang tidak lagi berhadapan dengan aplikasi — log perangkat, konfigurasinya, kuncinya, dan tunnel yang diterminasinya semuanya dapat dibaca dan ditulis. Pada firewall, itulah perbedaan antara "satu layanan telah dikompromikan" dan "perimeter telah dikompromikan".

Alasan kombinasi ini lebih penting daripada masing-masing CVE adalah bahwa vendor perangkat lambat menambal karena alasan struktural: firmware dikirim sebagai image, pembaruan memerlukan jendela pemeliharaan, dan di lapangan terdapat ekor panjang perangkat yang tidak akan pernah diperbarui. Rantai yang tidak memerlukan pengembangan eksploit baru dan berhasil masuk ke perangkat yang tertinggal adalah rantai yang akan terus berfungsi.

Apa yang membuat ini sebuah cerita, bukan sekadar catatan kaki?

Tiga hal, diurutkan berdasarkan seberapa besar seharusnya hal-hal itu mengubah minggu Anda.

Pertama, kampanye ini melintasi sektor dan batas negara dalam satu operasi, yang merupakan ciri khas pemindaian infrastruktur alih-alih intrusi yang ditargetkan. Dua puluh lima host di empat negara adalah gambaran eksploitasi yang berhasil ketika dijalankan sebagai penyapuan.

Kedua, salah satu jaringan yang disusupi digambarkan sebagai terafiliasi dengan pemerintah AS. Itulah sebabnya CISA menambahkan bug kernel dalam waktu sehari setelah laporan, alih-alih mengikuti jadwal biasanya, dan itu juga sebabnya entri tersebut ada sama sekali: katalog itu adalah daftar bagi defender, bukan daftar bagi peneliti.

Ketiga, laporan tentang kampanye tersebut mencatat bahwa perangkat AI mungkin telah berkontribusi terhadap intrusi. Klaim itu belum terbukti, dan pembacaan yang jujur adalah bahwa itu merupakan hipotesis yang dilekatkan pada operasi cepat dengan banyak target, bukan temuan yang buktinya pernah dipublikasikan oleh siapa pun. Layak dilacak karena ini adalah kali ketiga bulan ini sebuah kisah keamanan berakhir dengan "dan mungkin sebuah agen yang melakukannya" — dan dua yang pertama, penemuan Brotli dan proof of concept TCP Linux, terdokumentasi, bukan spekulasi.

Apa yang perlu diperiksa

• Versi kernel pada setiap host Linux yang menangani lalu lintas publik, terutama appliance. Fragnesia memerlukan kernel yang lebih lama daripada perbaikan tersebut, dan perbaikan itu telah tersedia sejak pengungkapan pada bulan Mei.

• Jalur ESP-in-TCP secara khusus. Jika Anda tidak menjalankan IPsec melalui TCP, menonaktifkan modul terkait akan menghapus permukaan serangan — keluarga mitigasi yang sama dengan bug fragmentasi sebelumnya, dan didokumentasikan oleh beberapa tim HPC universitas sebagai tindakan sementara yang praktis.

• Kelas perangkat PHP untuk bagian entri. Perangkat apa pun yang antarmuka manajemennya menjalankan PHP dan dapat dijangkau dari internet adalah populasi yang menjadi sumber pilihan kampanye ini.

• Apakah proses patch Anda benar-benar menjangkau perangkat tersebut. Inilah pertanyaan yang dijawab kampanye ini untuk Anda: 25 host yang telah di-root adalah ukuran berapa banyak orang yang belum menerapkan perbaikan kernel berusia lima bulan.

Mengapa kami menulis ini dalam satu detik

Postingan PHP2Shell kami adalah satu-satunya halaman dalam gelombang CVE saat ini yang mendatangkan lalu lintas nyata — sekitar 260 impresi dan tiga klik selama tujuh hari, yang kecil dalam angka absolut dan sangat besar dibandingkan halaman CVE lain di blog ini, yang memiliki impresi tetapi tidak ada klik sama sekali. Itu adalah sinyal tentang niat: orang yang mencari CVE dengan nama tertentu ingin titik masuknya dijelaskan, dan mereka tetap tinggal untuk bagian tentang apa yang terjadi setelahnya.

Fragnesia adalah bagian itu, dan itulah alasan untuk memperlakukan gelombang ini sebagai rantai, bukan daftar. Pembaca yang menambal PHP2Shell tetapi tidak menambal kernel telah menutup pintu dan membiarkan jendela terbuka, dan kampanye yang dijelaskan minggu ini persis berbentuk seperti itu.

Arsip Insiden AI OrcaRouter mengindeks insiden seperti ini terhadap sumber primer, tingkat keparahan, dan keyakinan, yang merupakan versi tahan lama dari sebuah kisah yang jika tidak akan dikenang sebagai "sesuatu tentang firewall dari Oktober".

Apa yang akan mengubah uraian ini: bukti bahwa kampanye 25 server menggunakan eskalasi yang berbeda dari Fragnesia, atau tulisan teknis terbit yang mengaitkan intrusi tersebut dengan pengintaian berbantuan AI. Keduanya tidak ada dalam materi yang tersedia pada 30 Oktober, dan keduanya adalah jenis klaim yang layak diberi label terbuka alih-alih diselesaikan secara tersirat.

Catatan sumber: penambahan KEV pada 28 Oktober dan judul katalog berasal dari pemberitahuan CISA bertanggal sama. Mekanisme ESP-in-TCP, klasifikasi eskalasi hak istimewa lokal, dan pengungkapan Mei 2026 dengan proof of concept publik berasal dari analisis Tenable dan catatan CVE. Jumlah 25 server, empat negara, dan jaringan terkait pemerintah AS berasal dari laporan kampanye Dream Security sebagaimana dirangkum di pers keamanan. Nomor CVE PHP2Shell dan kelas antarmuka yang terdampak berasal dari liputan kami sendiri pada 23 Oktober dan sumber-sumbernya. Klaim "alat AI mungkin telah membantu" berasal dari liputan pers tentang kampanye tersebut dan secara eksplisit belum dikonfirmasi. Angka lalu lintas kami berasal dari Search Console untuk tujuh hari yang berakhir 29 Oktober.