CISA: hackers misbruiken PHP-lek in combinatie met Linux-kernelbug uit mei

Het Amerikaanse cybersecurityagentschap CISA heeft de Fragnesia-bug in de Linux-kernel toegevoegd aan de Known Exploited Vulnerabilities-database. De organisatie heeft bewijs dat hackers de bug actief misbruiken.

Het Cybersecurity and Infrastructure Security Agency (CISA) draagt Amerikaanse overheidsinstanties op hun systemen voor 31 oktober te patchen en te onderzoeken of hackers die al zijn binnengedrongen. De organisatie waarschuwt dat aanvallers Fragnesia kunnen misbruiken in combinatie met de lekken in PHP waardoor vorige week veel websites offline gingen.

Onderzoekers ontdekten in mei de Fragnesia-bug, die is geregistreerd als CVE-2026-46300. Daarmee kunnen aanvallers hun rechten verhogen. Dat is mogelijk door een logicbug in het ESP-in-TCP-subsysteem, waarmee hackers willekeurige bytes kunnen schrijven naar een cache van bestanden die normaal gesproken alleen-lezen horen te zijn. Daardoor kunnen aanvallers het cachegeheugen corrumperen en een shell met roottoegang krijgen.

Reacties (5)

[HuisRocker]

Ik vroeg me iets af na dit bericht, en ik zal vast niet de enige geweest zijn... Dus, voor de duidelijkheid, sinds mei van dit jaar zijn de kernels 6.18.31 (Long Term Support) en 7.0.8 voorzien van de security patch.

Ook zijn toen de volgende (oudere) LTS Linux kernels met de patch uitgekomen:

5.10.256

5.15.207

6.1.173

6.6.139

6.12.89

[PtrO]

Hmmmm. zover ik begrijp is dit iets dat speelt in/bij containers.

^{bron: https://shattered.io/gke-...00-container-escape-2026/}

The first is a Linux kernel container breakout, tracked as CVE-2026-46300 and nicknamed Fragnesia inside the security research community that first reported it. It lets an unprivileged process running inside a container escalate all the way to root on the host node. The second is a flaw in containerd’s Container Runtime Interface implementation, where a container restored from an untrusted checkpoint through the CreateContainer API can bypass the destination security context and run with elevated privileges it should never have had.

[mace]

De meeste kernel bugs die gebruikt kunnen worden om root te worden kunnen ook gebruikt worden voor container escapes. Dit omdat een container dezelfde kernel draait als het host-systeem. En dan bedoel ik niet een kopie van dezelfde kernel maar er is maar één kernelproces in het geheugen voor alle processen.

[spnw]

Als je dat nu nog niet gepatcht hebt, dan vraag je er ook wel om

[Jerie]

Ik heb routers in gebruik die dit niet gefixed hebben. Maar die systemen gebruiken geen PHP of Node. Enkel oude SSH op management VLAN.