Linux, la falla Fragnesia ora è sfruttata: dalla webshell PHP ai privilegi di root

Il 28 ottobre 2026 CISA ha aggiunto al catalogo delle vulnerabilità sfruttate la CVE-2026-46300, una falla del kernel Linux chiamata Fragnesia e pubblicata il 23 maggio. Da sola è un bug locale con punteggio CVSS 7,8, ma CISA scrive che può essere concatenata con le due falle PHP2Shell per piazzare webshell PHP ed eseguire comandi come root. È la ragione per cui un bug vecchio di cinque mesi torna in cima alle priorità di chi gestisce server web.

Come funziona Fragnesia

Il bug sta in una funzione del kernel, skb_try_coalesce(), che unisce i pacchetti di rete in arrivo. Durante l’unione si perde un contrassegno che indica i frammenti condivisi con altre parti del sistema, per esempio con le pagine di un file tenute in memoria. Il codice che decifra il traffico IPsec ESP si fida di quel contrassegno e, non trovandolo, decifra i dati direttamente sul posto, cioè sopra la copia in memoria del file.

Red Hat descrive l’exploit dei ricercatori (William Bowling con il team V12): sfruttando la modalità ESP-in-TCP, un utente senza privilegi può impostare a piacere un byte alla volta in un file di sola lettura presente nella page cache, senza dover vincere alcuna gara di tempistica. Nella dimostrazione viene riscritto l’inizio di /usr/bin/su per ottenere una shell di root. Secondo Ubuntu la stessa tecnica può aiutare a evadere da un container. Fragnesia appartiene alla famiglia “Dirty Frag”, divulgata a inizio maggio, ed è un bug separato con la stessa superficie d’attacco e le stesse mitigazioni.

Perché conta adesso: la catena con PHP2Shell

Una falla locale richiede che l’attaccante sia già dentro. PHP2Shell fornisce proprio questo: esecuzione di codice come utente del server web, di norma senza privilegi. Fragnesia completa il percorso fino a root. Le date spiegano la preoccupazione: le patch del kernel sono disponibili da maggio, ma molti server web vengono riavviati raramente e girano ancora con il kernel di mesi fa anche se i pacchetti risultano installati.

Un dettaglio che complica le verifiche

La modifica avviene nella page cache, la copia dei file che il kernel tiene in RAM, e non sul disco. Red Hat lo scrive esplicitamente: il binario su disco resta intatto. Ne derivano due conseguenze pratiche. I controlli di integrità che confrontano i file su disco con i checksum dei pacchetti possono non vedere nulla. E il riavvio necessario per caricare il nuovo kernel elimina anche le copie alterate in memoria, insieme a molte tracce utili a un’analisi: se sospettate una compromissione, raccogliete prima memoria e log.

Cosa fare subito

1. Controllate quale kernel è in esecuzione e quale è installato: se differiscono, il server non è protetto finché non riavviate.
2. Installate gli aggiornamenti del kernel della vostra distribuzione (Red Hat ha pubblicato decine di avvisi RHSA per i vari rami, Ubuntu ha i pacchetti nei canali di sicurezza) e riavviate.
3. Se non potete aggiornare, e non usate IPsec, bloccate i moduli esp4 ed esp6 seguendo la procedura della distribuzione. Su Ubuntu è la stessa indicata per Dirty Frag.
4. Se il server ha avuto PHP vulnerabile esposto su Internet, trattatelo come potenzialmente compromesso fino a root: verifica forense prima, ricostruzione se ci sono indizi.

Comandi per Debian e Ubuntu (servono i privilegi di amministratore per aggiornare e riavviare):

uname -r
dpkg -l 'linux-image*' | grep ^ii
sudo apt update && sudo apt upgrade
sudo reboot

Mitigazione temporanea indicata da Ubuntu, da usare solo se l’aggiornamento non è possibile:

echo "install esp4 /bin/false" | sudo tee /etc/modprobe.d/dirty-frag.conf
echo "install esp6 /bin/false" | sudo tee -a /etc/modprobe.d/dirty-frag.conf
sudo update-initramfs -u -k all
sudo rmmod esp4 esp6

La nostra lettura

Fragnesia è l’esempio da manuale di come una falla “solo locale” cambi peso quando arriva un modo semplice per entrare. Il problema non è la mancanza di patch, che esistono da maggio, ma i kernel installati e mai caricati. Per chi gestisce server PHP la sequenza è una sola: PHP aggiornato, kernel aggiornato, riavvio, controllo. Il quadro su PHP è in https://hardwarfare.it/sicurezza-informatica/vulnerabilita-patch/php2shell-falle-php-sfruttate-siti-pa-italiana/; le novità del kernel in https://hardwarfare.it/ai-software/linux/linux-7-3-kernel-novita/.

Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo