Fragnesia 与 PHP2Shell：将 Web Shell 变为 Root 的第二阶段

大多数关于 Web Shell 的报道都把它当作故事的终点：有人攻了进来，这是载荷，给设备打补丁即可。Fragnesia 则是接下来发生的事。CVE-2026-46300 是 Linux 内核中的一个本地提权漏洞，于 2026 年 5 月披露，并附有公开的概念验证，随后于 10 月 28 日被加入 CISA 的已知被利用漏洞目录；它最终能进入该目录，是因为攻击者一直将其用作一条攻击链的后半段，而这条链的前半段正是我们 10 月 23 日写到的 PHP2Shell 漏洞。

根据 Dream Security 关于该行动的报告，结果是：在美国、日本、台湾和韩国，共有 25 台服务器被攻陷并取得 root 权限，其中包括一个与美国政府有关联的网络。面向互联网的设备上的 Web Shell 只是一个立足点；内核漏洞才把它变成攻击者以最高权限级别掌控的机器，此时设备自身的防护已不再构成阻碍。

Fragnesia 是什么

CISA的目录条目将CVE-2026-46300描述为“Linux内核变量未初始化”漏洞。Tenable的分析将其定位在内核的ESP-in-TCP路径中——即通过TCP承载IPsec流量的xfrm代码——并将其归类为本地权限提升。变量在完全初始化之前被使用，使本地攻击者能够影响内核状态，而已公布的概念验证可实现root权限。

有两种特性使它在组合使用时而非单独使用时具有危险性：

• 这是一个本地提权。它需要先在目标主机上执行代码，这就是为什么它本身不是头条 CVE，以及为什么作为第二阶段具有毁灭性。

• 概念验证自 5 月起就已公开。从来就不存在攻击者需要开发任何东西的窗口——只有一个防御者需要应用他们早已被告知的内核更新的窗口。

5月披露与10月被加入KEV之间的这段间隔，值得好好琢磨。KEV记录的是已观察到的在野利用，而不是披露。一个漏洞可以在一种接近收录目录的状态下停留五个月，然后一旦有人围绕它拼出一条可靠的利用链，就会跨过门槛。

链条，按顺序

PHP2Shell 是入口部分：CVE-2026-109618 和 CVE-2026-109619，在暴露于互联网的 Palo Alto Networks 管理界面中被利用，这属于 PHP 设备类别，而不是人们听到该厂商名称时所联想到的网络安全产品类别。该 Web Shell 使攻击者能够以设备 Linux 基础系统上的 Web 用户身份执行代码。

Fragnesia 是"出口"的另一半：从那个非特权上下文出发，内核漏洞可以抵达 root。拿到 root 之后，攻击者对抗的就不再只是一个应用程序——设备的日志、配置、密钥，以及它所终结的隧道，全都变得可读可写。在一台防火墙上，这正是"一个服务被攻陷"与"整个边界被攻陷"之间的差别。

这种组合之所以比其中任何一个 CVE 都更重要，是因为设备厂商的打补丁速度受结构性因素制约而十分缓慢：固件以镜像形式交付，更新需要维护窗口，而且现场还存在大量永远不会被升级的长尾设备。一条无需开发新漏洞利用、又能作用于这些滞后设备的攻击链，就是一条会持续奏效的攻击链。

是什么使它成为一个故事，而不是一条脚注

三件事，按它们应当改变你这一周的程度排序。

首先，这场行动在一次操作中跨越了多个行业和国界，这正是基础设施扫描而非针对性入侵的特征。四个国家的二十五台主机，正是漏洞利用以扫描方式运行并取得成功时的典型表现。

其次，其中一个遭到入侵的网络被描述为与美国政府有关联。这就是为什么 CISA 在报告发布后一天之内就收录了这个内核漏洞，而不是按照其通常的节奏；这也是为什么这一条目会存在：该目录是防御者的清单，而不是研究人员的清单。

第三，有关该攻击活动的报道指出，AI 工具可能促成了此次入侵。这一说法尚未得到证实；诚实的解读是，它只是一个附属于一次快速、多目标行动的假设，而不是任何人已公布证据支持的发现。这一点值得追踪，因为这是本月第三次以“而且可能是一个智能体干的”收尾的安全报道——而前两次，即 Brotli 发现和 Linux TCP 概念验证，是有据可查的，而非猜测。

需要检查什么

• 任何终止公共流量的 Linux 主机上的内核版本，尤其是设备类主机。Fragnesia 需要的内核版本必须早于修复程序，而该修复程序自 5 月披露以来就一直可用。

• 特别是 ESP-in-TCP 路径。如果你不通过 TCP 运行 IPsec，那么禁用相关模块就能消除攻击面——这与早先的分片漏洞所采用的缓解措施属于同一类，并且已被多所大学的 HPC 团队记录为一种实用的临时措施。

• 针对入口部分的 PHP 设备类别。任何管理界面运行 PHP 且可从互联网访问的设备，都是该活动所选取的目标群体。

• 你的补丁流程是否真正覆盖到了那些设备。这正是这项活动为你解答的问题：25 台已获取 root 权限的主机，衡量的是有多少人尚未应用一个已发布五个月之久的内核修复。

我们为什么要写这一秒

我们的 PHP2Shell 文章是当前 CVE 浪潮中唯一带来真实流量的页面——七天内约有 260 次展示和三次点击，从绝对值看很小，但相对于本博客其他 CVE 页面（有展示、零点击）而言却是巨大的。这释放出一个关于搜索意图的信号：搜索具名 CVE 的人希望了解入口点是如何被攻破的，而他们会留下来看后续发生了什么。

Fragnesia 就是其中一环，这也正是要把这波威胁当作一条链、而不是一份清单来对待的原因。只修补 PHP2Shell 而不修补内核的读者，等于关上了门却把窗户敞着，而本周描述的那场行动恰恰就是这种形态。

OrcaRouter AI 事件档案库会将此类事件连同第一手来源、严重程度和置信度一并编入索引，从而为原本只会被记作“十月的一起防火墙事件”的报道留下一个可长期留存的版本。

什么会改变这一说法：有证据表明，这场涉及25台服务器的行动采用了与Fragnesia不同的升级方式，或者有一篇已发表的技术文章将此次入侵归因于AI辅助侦察。在10月30日可获得的材料中，这两者都不存在；而且两者都属于那种应当被标注为悬而未决、而不是靠暗示来下定论的论断。

来源说明：10月28日新增至KEV以及目录名称，来自CISA同日发布的警报。ESP-in-TCP机制、本地权限提升分类，以及2026年5月带有公开概念验证的披露，来自Tenable的分析和CVE记录。25台服务器这一数字、四个国家以及与美国政府有关联的网络，来自Dream Security的活动报告，该报告由安全媒体总结报道。PHP2Shell的CVE编号和受影响接口类，来自我们10月23日的报道及其来源。“AI工具可能有所帮助”的说法来自媒体对该活动的报道，且明确未经证实。我们的流量数据来自Search Console，为截至10月29日的七天数据。