Fragnesia e PHP2Shell: da Web Shell a Root in due passaggi

La maggior parte dei resoconti su una web shell la considera la fine della storia: qualcosa è entrato, ecco il payload, applica la patch all'appliance. Fragnesia è ciò che accade dopo. CVE-2026-46300 è un'escalation di privilegi locale nel kernel Linux, divulgata a maggio 2026 con un proof of concept pubblico e aggiunta al catalogo Known Exploited Vulnerabilities di CISA il 28 ottobre; il motivo per cui è finalmente entrata in quella lista è che gli attaccanti l'hanno usata come seconda metà di una catena la cui prima metà è la vulnerabilità PHP2Shell di cui abbiamo scritto il 23 ottobre.

Il risultato, secondo il rapporto di Dream Security sulla campagna: 25 server compromessi con accesso root negli Stati Uniti, in Giappone, a Taiwan e in Corea del Sud, inclusa una rete collegata al governo statunitense. Una web shell su un'appliance esposta a Internet è un punto d'appoggio; è il bug del kernel a trasformarla in una macchina controllata dall'attaccante al massimo livello di privilegio, con le protezioni dell'appliance stessa che non sono più d'intralcio.

La voce del catalogo CISA descrive CVE-2026-46300 come vulnerabilità "Linux Kernel Missing Initialization of a Variable". L'analisi di Tenable la colloca nel percorso ESP-in-TCP del kernel — il codice xfrm che trasporta traffico IPsec su TCP — e la classifica come escalation locale dei privilegi. Una variabile usata prima di essere completamente inizializzata consente a un attaccante locale di influenzare lo stato del kernel, e la proof of concept pubblicata raggiunge root.

Due proprietà lo rendono pericoloso in combinazione piuttosto che da solo:

• È una locale escalation. Richiede prima l'esecuzione di codice sulla macchina, ed è per questo che non è di per sé un CVE di primo piano e che è devastante come seconda fase.

• Il proof of concept è pubblico da maggio . Non c'è stata alcuna finestra in cui un attaccante dovesse sviluppare qualcosa — solo una finestra in cui i difensori dovessero applicare un aggiornamento del kernel di cui erano già stati informati.

Quel divario tra una divulgazione di maggio e un’aggiunta a KEV di ottobre è ciò su cui bisogna riflettere. KEV registra lo sfruttamento osservato, non la divulgazione. Una vulnerabilità può restare in uno stato adiacente al catalogo per cinque mesi e poi fare il salto una volta che qualcuno costruisce attorno ad essa una catena affidabile.

PHP2Shell è la metà d'ingresso: CVE-2026-109618 e CVE-2026-109619, sfruttate nelle interfacce di gestione di Palo Alto Networks esposte su Internet, che appartengono alla classe di appliance PHP anziché alla classe di prodotto per la sicurezza di rete che le persone immaginano quando sentono il nome del fornitore. La web shell conferisce all'attaccante l'esecuzione di codice in qualità di utente web sulla base Linux dell'appliance.

Fragnesia è la metà finale: da quel contesto non privilegiato, il bug del kernel raggiunge root. Dopo aver ottenuto root, l'attaccante non sta più combattendo contro un'applicazione: i log dell'appliance, la sua configurazione, le sue chiavi e i tunnel che termina sono tutti leggibili e scrivibili. Su un firewall, questa è la differenza tra «un servizio è compromesso» e «il perimetro è compromesso».

Il motivo per cui questa combinazione conta più di ciascuna delle due CVE è che i fornitori di appliance sono lenti a rilasciare le patch per ragioni strutturali: il firmware viene distribuito come immagine, l'aggiornamento richiede una finestra di manutenzione e sul campo c'è una lunga coda di dispositivi che nessuno aggiornerà mai. Una catena che non richiede lo sviluppo di nuovi exploit e colpisce dispositivi rimasti indietro è una catena che continuerà a funzionare.

Che cosa rende questa una storia invece di una nota a piè di pagina?

Tre cose, in ordine di quanto dovrebbero cambiarti la settimana.

In primo luogo, la campagna ha attraversato settori e confini in un'unica operazione, il che è il tratto distintivo della scansione di infrastrutture piuttosto che di un'intrusione mirata. Venticinque host in quattro paesi è l'aspetto che assume un exploit riuscito quando viene eseguito come una scansione a tappeto.

In secondo luogo, una delle reti compromesse è descritta come affiliata al governo statunitense. Ecco perché la CISA ha aggiunto il bug del kernel entro un giorno dalla segnalazione anziché secondo la sua cadenza abituale, ed è anche il motivo per cui la voce esiste: il catalogo è un elenco per i difensori, non per i ricercatori.

Terzo, i resoconti sulla campagna osservano che gli strumenti di intelligenza artificiale potrebbero aver contribuito all'intrusione. Tale affermazione non è accertata, e la lettura onesta è che si tratta di un'ipotesi legata a un'operazione rapida e con più bersagli, piuttosto che di un risultato per cui qualcuno abbia pubblicato prove. Vale la pena tenerne traccia perché è la terza volta questo mese che una storia di sicurezza si conclude con «e forse l'ha fatto un agente» — e le prime due, la scoperta di Brotli e il proof of concept TCP di Linux, sono state documentate anziché oggetto di speculazione.

• Versione del kernel su qualsiasi host Linux che termina il traffico pubblico, in particolare gli appliance. Fragnesia necessita di un kernel anteriore alla correzione, e la correzione è disponibile dall'annuncio di maggio.

• Nello specifico, il percorso ESP-in-TCP. Se non si esegue IPsec su TCP, disabilitare i moduli pertinenti rimuove la superficie di attacco — la stessa famiglia di mitigazioni usata per i precedenti bug di frammentazione, e documentata da diversi team HPC universitari come misura provvisoria pratica.

• La classe di appliance PHP per la metà d'ingresso. Qualsiasi dispositivo la cui interfaccia di gestione esegue PHP ed è raggiungibile da internet costituisce la popolazione da cui questa campagna ha effettuato la selezione.

• Se il tuo processo di patch raggiunge effettivamente quei dispositivi. È la domanda a cui questa campagna risponde per te: 25 host rooted sono una misura di quante persone non avevano applicato una correzione del kernel risalente a cinque mesi.

Perché stiamo scrivendo questo per un secondo

Il nostro post su PHP2Shell è l'unica pagina dell'attuale ondata di CVE che abbia portato traffico reale — circa 260 impression e tre clic in sette giorni, un numero piccolo in termini assoluti ed enorme rispetto alle altre pagine CVE di questo blog, che hanno impression e nessun clic. Questo è un segnale sull'intento: chi cerca una CVE specifica vuole che gli venga spiegato il punto d'ingresso, e resta per la parte su ciò che accade dopo.

Fragnesia è quella parte, ed è il motivo per cui trattare l'ondata come una catena anziché come un elenco. Un lettore che applica la patch a PHP2Shell e non al kernel ha chiuso la porta e lasciato la finestra aperta, e la campagna descritta questa settimana ha esattamente quella forma.

L'archivio degli incidenti di OrcaRouter AI indicizza incidenti come questo confrontandoli con fonti primarie, gravità e livello di confidenza: è la versione duratura di una storia che altrimenti sarebbe ricordata come «una cosa da firewall di ottobre».

Cosa cambierebbe questa ricostruzione: prove che la campagna dei 25 server abbia usato un'escalation diversa da quella di Fragnesia, oppure un'analisi tecnica pubblicata che attribuisca l'intrusione a una ricognizione assistita dall'IA. Nessuna delle due esiste nel materiale disponibile al 30 ottobre, ed entrambe sono il tipo di affermazione che vale la pena etichettare come aperta anziché risolverla per implicazione.

Nota sulle fonti: l'aggiunta al KEV del 28 ottobre e il titolo del catalogo provengono dall'avviso di CISA della stessa data. Il meccanismo ESP-in-TCP, la classificazione come escalation di privilegi locali e la divulgazione di maggio 2026 con un proof of concept pubblico provengono dall'analisi di Tenable e dal record CVE. Il conteggio dei 25 server, i quattro paesi e la rete collegata al governo statunitense provengono dal rapporto sulla campagna di Dream Security, come riassunto dalla stampa di settore. I numeri CVE di PHP2Shell e la classe di interfaccia interessata provengono dalla nostra copertura del 23 ottobre e dalle sue fonti. L'affermazione "gli strumenti di IA potrebbero aver contribuito" proviene dalla copertura stampa della campagna ed è esplicitamente non confermata. I nostri dati di traffico provengono da Console per i sette giorni terminanti il 29 ottobre.