Fragnesia e PHP2Shell: A Segunda Etapa Que Transforma um Web Shell em Root

A maior parte da cobertura de um web shell o trata como o fim da história: algo entrou, aqui está o payload, corrija o appliance. Fragnesia é o que vem a seguir. A CVE-2026-46300 é uma escalada de privilégios local no kernel do Linux, divulgada em maio de 2026 com uma prova de conceito pública e adicionada ao catálogo Known Exploited Vulnerabilities da CISA em 28 de outubro, e o motivo pelo qual finalmente entrou nessa lista é que os atacantes vêm usando-a como a segunda metade de uma cadeia cuja primeira metade é a falha PHP2Shell sobre a qual escrevemos em 23 de outubro.

O resultado, segundo o relatório da Dream Security sobre a campanha: 25 servidores comprometidos como root nos Estados Unidos, no Japão, em Taiwan e na Coreia do Sul, incluindo uma rede ligada ao governo dos EUA. Um web shell em um dispositivo exposto à internet é um ponto de apoio; a falha no kernel é o que o transforma em uma máquina controlada pelo atacante no nível de privilégio mais alto, sem que as próprias proteções do dispositivo estejam mais no caminho.

O que é Fragnesia

O catálogo da CISA descreve a CVE-2026-46300 como uma vulnerabilidade de "Linux Kernel Missing Initialization of a Variable". A análise da Tenable a situa no caminho ESP-in-TCP do kernel — o código xfrm que transporta tráfego IPsec sobre TCP — e a classifica como escalonamento de privilégios local. Uma variável usada antes de ser totalmente inicializada permite que um atacante local influencie o estado do kernel, e a prova de conceito publicada chega a root.

Duas propriedades tornam-no perigoso em combinação, e não isoladamente:

• É uma escalada local. Requer primeiro execução de código na máquina, razão pela qual não é um CVE de destaque por si só e por que é devastadora como segundo estágio.

• A prova de conceito está pública desde maio. Não houve janela na qual um atacante precisasse desenvolver algo — apenas uma janela na qual os defensores precisassem aplicar uma atualização de kernel sobre a qual já tinham sido informados.

Essa lacuna entre uma divulgação em maio e uma adição ao KEV em outubro é o que merece reflexão. O KEV registra exploração observada, não divulgação. Uma vulnerabilidade pode permanecer num estado próximo do catálogo por cinco meses e só então fazer a travessia, quando alguém monta em torno dela uma cadeia confiável.

A cadeia, em ordem

O PHP2Shell é a metade de entrada: CVE-2026-109618 e CVE-2026-109619, exploradas em interfaces de gerenciamento da Palo Alto Networks expostas à internet, que pertencem à classe de appliances PHP, e não à classe de produtos de segurança de rede que as pessoas imaginam ao ouvir o nome do fornecedor. O web shell concede ao atacante execução de código como o usuário web na base Linux do appliance.

Fragnesia é a metade de saída: a partir desse contexto sem privilégios, a falha do kernel alcança root. Depois de obter root, o atacante não está mais lutando contra uma aplicação — os logs do equipamento, sua configuração, suas chaves e os túneis que ele termina são todos legíveis e graváveis. Em um firewall, essa é a diferença entre "um serviço está comprometido" e "o perímetro está comprometido".

A razão pela qual esse pareamento importa mais do que qualquer um dos dois CVEs é que os fabricantes de appliances são lentos para corrigir por razões estruturais: o firmware é distribuído como uma imagem, a atualização precisa de uma janela de manutenção, e o campo tem uma cauda longa de dispositivos que ninguém jamais atualizará. Uma cadeia que não exige o desenvolvimento de novos exploits e que atinge dispositivos que ficam para trás é uma cadeia que continuará funcionando.

O que faz com que isto seja uma história em vez de uma nota de rodapé?

Três coisas, em ordem de quanto elas deveriam mudar a sua semana.

Primeiro, a campanha atravessou setores e fronteiras em uma única operação, o que é a assinatura de uma varredura de infraestrutura, e não de uma intrusão direcionada. Vinte e cinco hosts em quatro países é o que um exploit bem-sucedido parece quando é executado como uma varredura.

Segundo, uma das redes comprometidas é descrita como afiliada ao governo dos EUA. É por isso que a CISA adicionou o bug do kernel dentro de um dia após o relatório, em vez de seguir sua cadência habitual, e também é por isso que a entrada existe: o catálogo é uma lista para defensores, não para pesquisadores.

Terceiro, a reportagem sobre a campanha observa que ferramentas de IA podem ter contribuído para a intrusão. Essa alegação não está comprovada, e a leitura honesta é que se trata de uma hipótese atrelada a uma operação rápida e com múltiplos alvos, e não de uma constatação para a qual alguém tenha publicado evidências. Vale a pena acompanhar porque é a terceira vez neste mês que uma notícia de segurança termina com "e possivelmente um agente fez isso" — e as duas primeiras, a descoberta do Brotli e a prova de conceito de TCP no Linux, foram documentadas em vez de especuladas.

O que verificar

• Versão do kernel em qualquer host Linux que termina tráfego público, especialmente appliances. Fragnesia precisa de um kernel anterior à correção, e a correção está disponível desde a divulgação de maio.

• Especificamente o caminho ESP-in-TCP. Se você não executa IPsec sobre TCP, desativar os módulos relevantes elimina a superfície de ataque — a mesma família de mitigações usada para os bugs de fragmentação anteriores, e documentada por várias equipes universitárias de HPC como uma medida provisória prática.

• A classe de appliance PHP para a metade de entrada. Qualquer dispositivo cuja interface de gerenciamento executa PHP e seja acessível pela internet é a população da qual esta campanha selecionou.

• Se o seu processo de patch realmente alcança esses dispositivos. É esta a pergunta que a campanha responde para você: 25 hosts com root são uma medida de quantas pessoas não tinham aplicado uma correção de kernel lançada há cinco meses.

Por que estamos escrevendo neste exato segundo

Nosso post sobre PHP2Shell é a única página na atual onda de CVEs que trouxe tráfego real — cerca de 260 impressões e três cliques ao longo de sete dias, o que é pequeno em termos absolutos e enorme em relação às outras páginas de CVE neste blog, que têm impressões e nenhum clique. Isso é um sinal sobre intenção: pessoas que buscam por uma CVE específica querem que o ponto de entrada seja explicado, e ficam pela parte sobre o que acontece depois.

Fragnesia é essa parte, e é a razão para tratar a onda como uma cadeia, e não como uma lista. Um leitor que aplica o patch do PHP2Shell e não o do kernel fechou a porta e deixou a janela aberta, e a campanha descrita esta semana tem exatamente essa forma.

O OrcaRouter AI Incident Archive indexa incidentes como este segundo fontes primárias, gravidade e confiança, o que é a versão duradoura de uma história que, de outra forma, seria lembrada como “uma coisa de firewall de outubro”.

O que mudaria este relato: evidências de que a campanha dos 25 servidores usou um escalonamento diferente do da Fragnesia, ou uma análise técnica publicada que atribua a intrusão a reconhecimento assistido por IA. Nenhum dos dois existe no material disponível em 30 de outubro, e ambos são o tipo de afirmação que vale a pena rotular como em aberto em vez de resolver por implicação.

Nota de fontes: a inclusão no KEV em 28 de outubro e o título do catálogo vêm do alerta da CISA da mesma data. O mecanismo ESP-in-TCP, a classificação como escalada de privilégios local e a divulgação em maio de 2026 com uma prova de conceito pública vêm da análise da Tenable e do registro do CVE. A contagem de 25 servidores, os quatro países e a rede ligada ao governo dos EUA vêm do relatório de campanha da Dream Security, conforme resumido na imprensa de segurança. Os números CVE do PHP2Shell e a classe de interface afetada vêm da nossa própria cobertura de 23 de outubro e de suas fontes. A afirmação de que "ferramentas de IA podem ter ajudado" vem da cobertura jornalística da campanha e não é explicitamente confirmada. Nossos números de tráfego vêm do Search Console referentes aos sete dias terminados em 29 de outubro.