Fragnesia 與 PHP2Shell：讓網頁殼層取得 root 權限的第二階段

大多數針對網頁後門（web shell）的報導都把它當成故事的終點：有東西入侵了，這是酬載，把設備修補好。Fragnesia 則是接下來發生的事。CVE-2026-46300 是 Linux 核心中的本地權限提升漏洞，於 2026 年 5 月揭露，並附有公開的概念驗證，且於 10 月 28 日被加入 CISA 的「已知遭利用漏洞」清單；它之所以終於被列入該清單，是因為攻擊者一直把它當作一條攻擊鏈的後半段，而該攻擊鏈的前半段正是我們在 10 月 23 日報導過的 PHP2Shell 漏洞。

根據 Dream Security 對該攻擊行動的報告，結果為：25 台伺服器在美國、日本、台灣與南韓遭取得 root 權限，其中包括一個與美國政府有關聯的網路。對外暴露的應用裝置上的 Web Shell 只是立足點；真正將其轉變為攻擊者以最高權限層級掌控、且該裝置自身防護不再構成阻礙的機器的，是核心漏洞。

Fragnesia 是什麼

CISA 的目錄條目將 CVE-2026-46300 描述為「Linux 核心變數未初始化」漏洞。Tenable 的分析將其定位於核心的 ESP-in-TCP 路徑——即透過 TCP 承載 IPsec 流量的 xfrm 程式碼——並將其歸類為本機權限提升。變數在完全初始化之前就被使用，讓本機攻擊者得以影響核心狀態，而已公布的概念驗證可取得 root 權限。

有兩項特性使其在組合使用時而非單獨使用時具有危險性：

• 這是一種本地提權。它需要先在主機上執行代碼，這就是為什麼它本身不是一個頭條 CVE，以及為什麼它作為第二階段具有毀滅性。

• 概念驗證程式自五月起就已公開。這段期間並不存在攻擊者需要開發任何東西的空窗期——只有防禦者需要套用他們早已被告知的核心更新的空窗期。

5月披露與10月被納入KEV之間的那段落差，正是值得好好沉澱思考的地方。KEV記錄的是已觀察到的實際利用，而非披露。一個漏洞可以停留在近似目錄收錄的狀態長達五個月，然後在有人圍繞它組建出可靠的利用鏈之後，才正式跨入目錄。

鏈，依序

{{1}}PHP2Shell{{/1}} 屬於入口環節：{{2}}CVE-2026-109618{{/2}} 與 {{3}}CVE-2026-109619{{/3}}，於暴露在網際網路上的 Palo Alto Networks 管理介面中遭到利用；此處所指的其實是 PHP 設備類別，而非人們聽到該廠商名稱時所聯想到的網路安全產品類別。這個網頁後門（web shell）讓攻擊者得以在設備的 Linux 基礎環境上，以網頁使用者身分執行任意程式碼。

Fragnesia 是「出口」的那一半：從那個無特權的情境出發，這個核心漏洞就能一路取得 root。取得 root 後，攻擊者面對的就不再只是某個應用程式——設備的日誌、設定、金鑰，以及它所終止的隧道，全都可讀可寫。對防火牆而言，這就是「某個服務遭駭」與「整個周邊防線遭駭」之間的差別。

這個組合之所以比任何一個 CVE 都更重要，原因在於設備廠商基於結構性因素而修補緩慢：韌體是以映像檔形式出貨，更新需要維護窗口，而現場還有永遠不會有人升級的長尾裝置。一條不需要開發新漏洞利用、又能攻入落後裝置的攻擊鏈，就是會持續有效的攻擊鏈。

是什麼讓這成為一則故事，而非一則註腳？

三件事，依它們該改變你這週的程度排序。

首先，這次行動在一次作業中跨越了產業與國界，這正是基礎設施掃描而非針對性入侵的標誌。四個國家中的二十五台主機，正是成功漏洞利用以橫掃方式執行時的樣貌。

其次，其中一個遭入侵的網路被描述為與美國政府有關。這就是為什麼 CISA 在報告發布後一天內就加入了這個核心漏洞，而不是依照其一貫的節奏；這也是為什麼這個條目終究會存在：該目錄是防禦者的清單，而非研究人員的清單。

第三，關於該行動的報導指出，AI 工具可能對這次入侵有所助益。這項說法尚未獲得證實，而誠實的解讀是：這只是附在一場快速、多目標行動上的假設，而非任何人已發表證據的發現。這值得持續關注，因為這是本月第三次安全報導以「而且可能是一個 AI 代理所為」作結——而前兩次，Brotli 的發現與 Linux TCP 的概念驗證，都是有文件記錄的，而非憑空推測。

檢查項目

• 任何終止公開流量之 Linux 主機（尤其是應用裝置）的核心版本。Fragnesia 需要一個早於該修復的核心，而該修復自五月揭露以來便已提供。

• 具體而言，是 ESP-in-TCP 路徑。如果你沒有在 TCP 上執行 IPsec，停用相關模組就能移除攻擊面——這與先前 fragmentation 錯誤所採用的同一類緩解措施，且有多個大學 HPC 團隊將其記載為實用的臨時措施。

• 入口那一半所涵蓋的 PHP 設備類別。任何管理介面執行 PHP 且可從網際網路觸及的裝置，就是此波行動所挑選的群體。

• 你的修補流程是否真的能觸及那些裝置。這正是這項活動要為你解答的問題：25 台已 root 的主機，衡量的是有多少人尚未套用五個月前發布的核心修正。

為什麼我們要寫下這一秒

我們這篇 PHP2Shell 文章是當前 CVE 浪潮中唯一帶來實際流量的頁面——七天內約有 260 次曝光和三次點擊；以絕對數字來看很小，但相對於本部落格其他 CVE 頁面卻極為可觀，因為那些頁面有曝光卻完全沒有點擊。這是有關搜尋意圖的訊號：搜尋具名 CVE 的人想要了解切入點，並會留下來繼續看後續發生了什麼事。

Fragnesia 就是那一部分，而這也正是為何要把這波攻勢視為一條鏈、而非一份清單的原因。只修補 PHP2Shell 卻沒修補核心的人，等於關上了門卻讓窗戶開著，而本週所描述的這場行動，正是這樣的形狀。

OrcaRouter AI Incident Archive 會把這類事件連同一手來源、嚴重程度與信心度編入索引，而這正是這個故事得以長存的版本；否則它只會被人記成「十月的一件防火牆的事」。

什麼會改變這份記述：有證據顯示那場涉及 25 台伺服器的行動使用了與 Fragnesia 不同的提權方式，或有一份已發布的技術報告將該入侵歸因於 AI 輔助偵察。在 10 月 30 日可取得的資料中，這兩者都不存在，而它們都屬於值得標示為未定、而非以暗示方式定論的主張。

來源說明：10 月 28 日新增至 KEV 清單的項目及目錄標題，出自 CISA 同日發布的警報。ESP-in-TCP 機制、本機權限提升的分類，以及 2026 年 5 月附有公開概念驗證的揭露，出自 Tenable 的分析與 CVE 紀錄。25 台伺服器的數量、四個國家及與美國政府有關的網路，出自 Dream Security 的活動報告，並經資安媒體摘要。PHP2Shell 的 CVE 編號與受影響的介面類別，出自我們 10 月 23 日的報導及其來源。「AI 工具可能有所幫助」的說法，出自媒體對該活動的報導，且明確未經證實。我們的流量數據取自 Search Console，涵蓋截至 10 月 29 日的七天。