von Wolfscastle, Team
Die CISA führt die Kernel-Lücke CVE-2026-46300 seit dem 28. Oktober als ausgenutzt, verkettet mit php2shell. Welche Kernel sicher sind und was Sie prüfen sollten.
Angreifer nutzen eine Lücke im Linux-Kernel, um nach einem Einbruch über php2shell Root-Rechte zu bekommen. Die US-Cybersicherheitsbehörde CISA hat die Kernel-Lücke CVE-2026-46300, Spitzname „Fragnesia“, am 28. Oktober 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. US-Bundesbehörden müssen sie bis zum 31. Oktober schließen. Die Updates dafür gibt es seit Monaten. Stand dieses Beitrags ist der 29. Oktober 2026.
Fragnesia wurde am 13. Mai 2026 öffentlich. Der Sicherheitsforscher William Bowling von V12 Security veröffentlichte die Lücke zusammen mit einem Proof of Concept und einem Kernel-Patch, wie Tenable zusammenfasst. Der Fehler sitzt im Netzwerkcode des Kernels, genauer im Teil für ESP-in-TCP. Ein lokaler Benutzer ohne besondere Rechte kann darüber Dateien im Page Cache verändern, also in der Kopie, die der Kernel von Dateien im Arbeitsspeicher hält. Der öffentliche Proof of Concept manipuliert so die zwischengespeicherte Kopie von /usr/bin/su und verschafft sich Root-Rechte.
Für sich allein braucht ein Angreifer dafür Zugriff auf den Server. Deshalb stufen Red Hat die Lücke als „Important“ und Ubuntu als „High“ ein, nicht als kritisch. Die CVSS-Bewertung liegt bei 7.8.
Diesen Zugriff liefert php2shell. Über die PHP-Lücken CVE-2026-109618 und CVE-2026-109619 können Angreifer Code mit den Rechten des Webservers ausführen. Laut CISA lässt sich Fragnesia mit diesen beiden Lücken verketten. Angreifer können so PHP-Webshells einschleusen und Befehle als root ausführen. heise online berichtet ebenfalls, dass auf den Einbruch über php2shell in den Zielsystemen die Rechteausweitung folgte.
Wer PHP schon aktualisiert hat, hat den Einstieg geschlossen. War der Server vorher angreifbar, reicht das aber nicht als Entwarnung. Wir haben im Beitrag zu php2shell beschrieben, wie Sie Server ab dem 17. Oktober auf Spuren eines Einbruchs prüfen. Mit Fragnesia kommt eine Frage hinzu: Konnte ein Angreifer über den Webserver hinaus Root-Rechte erlangen? Dann reicht es nicht, nur das Webverzeichnis zu prüfen.
Der Exploit braucht laut Tenable keine glückliche Zeitabfolge, er funktioniert zuverlässig. Er nutzt User- und Network-Namespaces, die auf den meisten Distributionen standardmäßig aktiv sind. Ein Proof of Concept ist seit Mai öffentlich.
Betroffen ist laut Tenable jeder Kernel ohne den Patch vom 13. Mai. Die Distributionen haben inzwischen nachgezogen:
kernel-5.14.0-611.54.4.el9_7 für AlmaLinux 9.espintcp fehlt.Wichtig für alle, die schon gegen die ähnliche Lücke „Dirty Frag“ gepatcht haben: Die Dirty-Frag-Patches beheben Fragnesia laut Tenable nicht.
Welcher Kernel gerade läuft, zeigt uname -r. Ist das Kernel-Paket aktualisiert, der Server aber nicht neu gestartet, läuft weiter der alte Kernel. Vergleichen Sie deshalb die laufende Version mit den Angaben Ihrer Distribution.
Wenn Sie den Server nicht sofort neu starten können, nennt Tenable einen Workaround. Er entlädt die Module esp4, esp6 und rxrpc und verhindert, dass sie wieder geladen werden:
rmmod esp4 esp6 rxrpc
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf
Wer diesen Workaround schon für Dirty Frag eingerichtet hat, ist laut Tenable auch gegen Fragnesia geschützt. Prüfen Sie vorher, ob Dienste auf dem Server diese Module brauchen. Der Workaround ersetzt das Kernel-Update nicht.
Bei unseren Managed Servern spielen wir Kernel-Updates ein und planen den Neustart mit Ihnen. Nach php2shell gehört dazu auch der Blick, ob jemand über den Webserver hinaus ins System gekommen ist.
Wenn Sie nicht sicher sind, welcher Kernel auf Ihrem Shop-Server läuft, schreiben Sie uns.
Die US-Behörde CISA führt die Brotli-Lücke CVE-2026-111497 seit dem 27. Oktober als aktiv ausgenutzt. Welche Versionen betroffen sind und was Sie tun sollten.
WeiterlesenEin Rabatt muss sich auf den niedrigsten Preis der letzten 30 Tage beziehen. Das OLG Köln und das LG Hamburg zeigen, wann Streichpreise in die Irre führen.
WeiterlesenWir sind bereit, Ihre digitalen Herausforderungen anzunehmen - ob E-Commerce, Web-App oder komplexes Ökosystem.
Wolfscastle arbeitet vollständig remote, aber immer auf Augenhöhe und mit direkter Kommunikation - ohne Umwege und zwischengeschaltete Projektmanager.