Fragnesia v CISA KEV: prečo preveriť Linux aj PHP

Staršia bezpečnostná chyba môže byť naliehavejšia než včerajšia novinka. Platí to aj pre Fragnesia, zraniteľnosť jadra Linuxu označenú CVE-2026-46300. Americká CISA ju 28. októbra 2026 zaradila do katalógu známych zneužívaných zraniteľností KEV. Pre firmy s webmi, e-shopmi a internými systémami je to dôvod skontrolovať skutočný stav serverov aj aplikačného prostredia.

Októbrové varovanie nie je dátum objavenia chyby

Canonical uvádza verejné zverejnenie Fragnesia 13. mája 2026. Samotný záznam Ubuntu CVE má dátum publikovania 23. mája. Októbrová novinka spočíva v zaradení do KEV, nie v objavení novej chyby Linuxu. Tieto dátumy opisujú rozdielne udalosti a nemali by sa zamieňať.

Čo Fragnesia umožňuje

Ide o chybu v sieťovom subsystéme XFRM ESP-in-TCP. Podľa oficiálneho popisu Red Hat môže používateľ s obmedzeným lokálnym prístupom zmeniť údaje v pamäťovej cache súborov a získať oprávnenia root. Ubuntu uvádza aj možný únik z kontajnera. Fragnesia je preto lokálne zvýšenie oprávnení; samotný tento popis neznamená vzdialený vstup do každého linuxového servera.

Prečo je dôležitá väzba na PHP

Oficiálne dáta katalógu CISA KEV pri Fragnesia výslovne uvádzajú možnosť reťazenia s PHP zraniteľnosťami CVE-2026-109618 a CVE-2026-109619 na vloženie PHP webshellov a spúšťanie príkazov ako root. Obe PHP chyby boli do KEV pridané 26. októbra. Webshell je škodlivý súbor alebo rozhranie, cez ktoré môže útočník ovládať napadnuté webové prostredie.

Praktický význam je jasný: aplikačná chyba môže otvoriť prvý prístup a chyba jadra následne rozšíriť oprávnenia. Z toho nevyplýva, že každá PHP aplikácia je zraniteľná alebo že každý server bol napadnutý. Vyplýva z toho potreba kontrolovať celý reťazec technológií. Tieto primárne podklady zároveň nedokladajú, že útoky riadila AI.

Overte jadro aj PHP, nie iba webový systém

Správca má identifikovať konkrétne balíky, distribúciu a bežiace jadro. Pri Fragnesia tracker Ubuntu pri kontrole uvádzal opravy základných jadier napríklad pre 22.04, 24.04 a 26.04; pri 26.10 stav „not affected“. Cloudové, HWE a ďalšie varianty treba skontrolovať samostatne. Stav jedného balíka nemožno preniesť na všetky stroje vo firme.

Rovnako overte, odkiaľ server dostáva PHP a kto zodpovedá za jeho bezpečnostné aktualizácie. Môže ísť o distribučný balík, hostingové prostredie alebo vlastný kontajner. Pri aktualizácii aplikácie sa nemusí zmeniť jej základný obraz ani hostiteľské jadro. Dodávateľ má potvrdiť stav konkrétnych CVE, nie iba posledný dátum údržby.

Pri zneužívanej chybe patrí ku kontrole aj hľadanie incidentu

Prioritou je opraviť zraniteľné verejne dostupné systémy podľa pokynov dodávateľa. Súčasne skontrolujte nečakané webové súbory, zmeny účtov, prístupov a podozrivé procesy. Bežná návštevnosť alebo funkčný e-shop ešte nepotvrdzujú, že systém nebol kompromitovaný. Zistenia posudzujte v kontexte logov a časovej osi.

Pri dôvodnom podozrení zachovajte dôkazy a zapojte človeka zodpovedného za reakciu na incident. Zmena hesiel alebo vymazanie jedného webshellu nemusí odstrániť ďalší prístup útočníka. Podľa rozsahu môže byť potrebná izolácia, obnova z dôveryhodného zdroja a výmena dotknutých prihlasovacích údajov. Postup musí chrániť aj dostupnosť kritických firemných procesov.

Prevencia má pokračovať po aktualizácii

Udržujte inventár serverov a závislostí, sledujte bezpečnostné oznámenia a určte, kto rozhoduje o urgentnej oprave. Otestujte obnovu, sieťové oddelenie a prístupy správcov. Každé opatrenie má mať vlastníka a overiteľný výsledok. Firma potom pri ďalšom varovaní nezačína zisťovaním, kto sa vlastne o server stará.

Overené 2. novembra 2026. Fragnesia CVE-2026-46300 je odlišná od IPv4/TCP chyby CVE-2026-98432.