Fragnesia en PHP2Shell: de tweede fase die een webshell omzet in root

De meeste berichtgeving over een webshell behandelt die als het einde van het verhaal: er is iets binnengedrongen, hier is de payload, patch het apparaat. Fragnesia is wat er daarna gebeurt. CVE-2026-46300 is een lokale privilege-escalatie in de Linux-kernel, in mei 2026 openbaar gemaakt met een openbare proof of concept en op 28 oktober toegevoegd aan CISA's Known Exploited Vulnerabilities-catalogus. De reden dat het uiteindelijk op die lijst terechtkwam, is dat aanvallers het gebruiken als de tweede helft van een keten waarvan de eerste helft de PHP2Shell-kwetsbaarheid is die we op 23 oktober beschreven.

Het resultaat, volgens het rapport van Dream Security over de campagne: 25 servers waarop root-toegang is verkregen, verspreid over de Verenigde Staten, Japan, Taiwan en Zuid-Korea, waaronder één netwerk dat in verband wordt gebracht met de Amerikaanse overheid. Een webshell op een vanaf het internet bereikbaar apparaat biedt een eerste toegangspunt; de kernelbug maakt er een machine van die de aanvaller op het hoogste privilegeniveau in handen heeft, terwijl de eigen beschermingen van het apparaat niet langer in de weg staan.

Wat Fragnesia is

De catalogusvermelding van CISA beschrijft CVE-2026-46300 als een kwetsbaarheid van het type "Linux Kernel Missing Initialization of a Variable". De analyse van Tenable plaatst deze in het ESP-in-TCP-pad van de kernel — de xfrm-code die IPsec-verkeer over TCP vervoert — en classificeert het als een lokale privilege-escalatie. Een variabele die wordt gebruikt voordat deze volledig is geïnitialiseerd, stelt een lokale aanvaller in staat de kernelstatus te beïnvloeden, en het gepubliceerde proof of concept leidt tot root.

Twee eigenschappen maken het in combinatie gevaarlijk, niet op zichzelf:

• Het is een lokale escalatie. Het vereist eerst code-uitvoering op de machine, daarom is het op zichzelf geen CVE die de krantenkoppen haalt en daarom is het verwoestend als fase twee.

• Het proof of concept is sinds mei openbaar. Er is geen periode geweest waarin een aanvaller iets hoefde te ontwikkelen — alleen een periode waarin verdedigers een kernelupdate moesten toepassen waarover ze al waren geïnformeerd.

Die kloof tussen een openbaarmaking in mei en een toevoeging aan KEV in oktober is iets om bij stil te staan. KEV registreert waargenomen misbruik, niet openbaarmaking. Een kwetsbaarheid kan vijf maanden lang in een staat net naast de catalogus verkeren en dan de overstap maken zodra iemand een betrouwbare keten eromheen in elkaar zet.

De keten, in volgorde

PHP2Shell is het instapdeel: CVE-2026-109618 en CVE-2026-109619, misbruikt in aan internet blootgestelde beheerdersinterfaces van Palo Alto Networks, wat de PHP-applianceklasse is en niet de klasse van netwerkbeveiligingsproducten die mensen voor ogen hebben wanneer ze de naam van de leverancier horen. De webshell geeft de aanvaller code-uitvoering als de webgebruiker op de Linux-basis van het apparaat.

Fragnesia is de exit-helft: vanuit die niet-geprivilegieerde context bereikt de kernelbug root. Na root vecht de aanvaller niet langer tegen een applicatie — de logs van het apparaat, zijn configuratie, zijn sleutels en de tunnels die het beëindigt, zijn allemaal leesbaar en schrijfbaar. Op een firewall is dat het verschil tussen "één service is gecompromitteerd" en "de perimeter is gecompromitteerd".

De reden dat deze combinatie meer gewicht in de schaal legt dan een van beide CVE's afzonderlijk, is dat leveranciers van appliances om structurele redenen traag patchen: de firmware wordt als image geleverd, de update vereist een onderhoudsvenster, en in het veld ligt een lange staart van apparaten die niemand ooit zal upgraden. Een keten die geen nieuwe exploitontwikkeling nodig heeft en terechtkomt op apparaten die achterblijven, is een keten die zal blijven werken.

Wat maakt dit een verhaal en geen voetnoot?

Drie dingen, in volgorde van hoeveel ze je week moeten veranderen.

Ten eerste overspande de campagne in één operatie zowel sectoren als landsgrenzen, wat het kenmerk is van infrastructuurscans eerder dan van gerichte intrusie. Vijfentwintig hosts in vier landen is hoe een succesvolle exploit eruitziet wanneer die als een sweep wordt uitgevoerd.

Ten tweede wordt een van de gecompromitteerde netwerken beschreven als gelieerd aan de Amerikaanse overheid. Daarom heeft CISA de kernelbug binnen een dag na het rapport toegevoegd in plaats van volgens zijn gebruikelijke cadans, en dat is ook de reden dat de vermelding überhaupt bestaat: de catalogus is een lijst voor verdedigers, niet voor onderzoekers.

Ten derde merkt de berichtgeving over de campagne op dat AI-tools mogelijk hebben bijgedragen aan de inbraak. Die bewering is niet vastgesteld, en de eerlijke lezing is dat het een hypothese is die aan een snelle operatie met meerdere doelen hangt, in plaats van een bevinding waarvoor iemand bewijs heeft gepubliceerd. Het is de moeite waard dit te volgen, want het is de derde keer deze maand dat een beveiligingsverhaal eindigt met "en mogelijk heeft een agent het gedaan" — en de eerste twee, de Brotli-ontdekking en het Linux-TCP-proof-of-concept, waren gedocumenteerd in plaats van gespeculeerd.

Wat te controleren

• Kernelversie op elke Linux-host die openbaar verkeer beëindigt, vooral apparaten. Fragnesia vereist een kernel die ouder is dan de fix, en de fix is beschikbaar sinds de bekendmaking in mei.

• Specifiek het ESP-in-TCP-pad. Als u IPsec niet via TCP laat draaien, verwijdert het uitschakelen van de relevante modules het aanvalsoppervlak — dezelfde mitigatiefamilie die voor de eerdere fragmentatiebugs werd gebruikt, en door meerdere universitaire HPC-teams gedocumenteerd als een praktische tussentijdse maatregel.

• De PHP-applianceklasse voor de entry-helft. Elk apparaat waarvan de beheerinterface PHP draait en dat vanaf internet bereikbaar is, vormt de populatie waaruit deze campagne heeft geselecteerd.

• Of je patchproces die apparaten daadwerkelijk bereikt. Dat is de vraag die de campagne voor je beantwoordt: 25 geroote hosts is een meting van hoeveel mensen een vijf maanden oude kernelfix niet hadden toegepast.

Waarom we deze ene seconde schrijven

Onze PHP2Shell-post is de enige pagina in de huidige CVE-golf die echt verkeer heeft opgebracht — ongeveer 260 vertoningen en drie klikken over zeven dagen, wat in absolute termen klein is en enorm veel ten opzichte van de andere CVE-pagina's op dit blog, die vertoningen hebben en helemaal geen klikken. Dat is een signaal over intentie: mensen die zoeken op een genoemde CVE willen het toegangspunt uitgelegd krijgen, en ze blijven voor het deel over wat er daarna gebeurt.

Fragnesia is dat onderdeel, en daarom moet je de golf als een keten behandelen en niet als een lijst. Een lezer die PHP2Shell patcht en niet de kernel, heeft de deur dichtgedaan en het raam open gelaten, en de campagne die deze week werd beschreven heeft precies die vorm.

Het OrcaRouter AI Incident Archive indexeert dergelijke incidenten aan de hand van primaire bronnen, ernst en betrouwbaarheid, wat de duurzame versie vormt van een verhaal dat anders herinnerd zou worden als "een firewallding uit oktober".

Wat dit verslag zou veranderen: bewijs dat de campagne op 25 servers een andere escalatie gebruikte dan Fragnesia, of een gepubliceerde technische uiteenzetting die de inbraak toeschrijft aan AI-ondersteunde verkenning. Geen van beide bestaat in het materiaal dat op 30 oktober beschikbaar is, en beide zijn het soort bewering dat het verdient om als open te worden bestempeld in plaats van impliciet te worden beslecht.

Bronvermelding: de KEV-toevoeging van 28 oktober en de catalogustitel komen uit de waarschuwing van CISA van dezelfde datum. Het ESP-in-TCP-mechanisme, de classificatie als lokale privilege-escalatie en de openbaarmaking van mei 2026 met een openbaar proof of concept komen uit de analyse van Tenable en het CVE-record. Het aantal van 25 servers, de vier landen en het netwerk met banden met de Amerikaanse overheid komen uit het campagnerapport van Dream Security, samengevat in de beveiligingspers. De CVE-nummers van PHP2Shell en de betrokken interfaceklasse komen uit onze eigen berichtgeving van 23 oktober en haar bronnen. De bewering "AI-tools hebben mogelijk geholpen" komt uit persberichtgeving over de campagne en is expliciet onbevestigd. Onze verkeerscijfers komen uit Search Console voor de zeven dagen eindigend op 29 oktober.