Fragnesia v CISA KEV: proč prověřit Linux i PHP

Starší bezpečnostní chyba může být naléhavější než včerejší novinka. Platí to i pro Fragnesia, zranitelnost jádra Linuxu označenou CVE-2026-46300. Americká CISA ji 28. října 2026 zařadila do katalogu známých zneužívaných zranitelností KEV. Pro firmy s weby, e-shopy a interními systémy je to důvod zkontrolovat skutečný stav serverů i aplikačního prostředí.

Říjnové varování není datum objevení chyby

Canonical uvádí veřejné zveřejnění Fragnesia 13. května 2026. Samotný záznam Ubuntu CVE má datum publikování 23. května. Říjnová novinka spočívá v zařazení do KEV, ne v objevení nové chyby Linuxu. Tato data popisují rozdílné události a neměla by se zaměňovat.

Co Fragnesia umožňuje

Jde o chybu v síťovém subsystému XFRM ESP-in-TCP. Podle oficiálního popisu Red Hat může uživatel s omezeným lokálním přístupem změnit data v paměťové cache souborů a získat oprávnění root. Ubuntu uvádí i možný únik z kontejneru. Fragnesia je proto lokální zvýšení oprávnění; samotný tento popis neznamená vzdálený vstup do každého linuxového serveru.

Proč je důležitá vazba na PHP

Oficiální data katalogu CISA KEV u Fragnesia výslovně uvádějí možnost řetězení se zranitelnostmi PHP CVE-2026-109618 a CVE-2026-109619 pro vložení PHP webshellů a spouštění příkazů jako root. Obě chyby PHP byly do KEV přidány 26. října. Webshell je škodlivý soubor nebo rozhraní, přes které může útočník ovládat napadené webové prostředí.

Praktický význam je jasný: aplikační chyba může otevřít první přístup a chyba jádra následně rozšířit oprávnění. Z toho nevyplývá, že každá PHP aplikace je zranitelná nebo že každý server byl napaden. Vyplývá z toho potřeba kontrolovat celý řetězec technologií. Tyto primární podklady zároveň nedokládají, že útoky řídila AI.

Ověřte jádro i PHP, ne jen webový systém

Správce má identifikovat konkrétní balíky, distribuci a běžící jádro. U Fragnesia tracker Ubuntu při kontrole uváděl opravy základních jader například pro 22.04, 24.04 a 26.04; u 26.10 stav „not affected“. Cloudové, HWE a další varianty je třeba zkontrolovat samostatně. Stav jednoho balíku nelze přenést na všechny stroje ve firmě.

Stejně tak ověřte, odkud server dostává PHP a kdo odpovídá za jeho bezpečnostní aktualizace. Může jít o distribuční balík, hostingové prostředí nebo vlastní kontejner. Při aktualizaci aplikace se nemusí změnit její základní obraz ani hostitelské jádro. Dodavatel má potvrdit stav konkrétních CVE, ne jen poslední datum údržby.

U zneužívané chyby patří ke kontrole i hledání incidentu

Prioritou je opravit zranitelné veřejně dostupné systémy podle pokynů dodavatele. Současně zkontrolujte nečekané webové soubory, změny účtů, přístupů a podezřelé procesy. Běžná návštěvnost nebo funkční e-shop ještě nepotvrzují, že systém nebyl kompromitován. Zjištění posuzujte v kontextu logů a časové osy.

Při důvodném podezření zachovejte důkazy a zapojte člověka odpovědného za reakci na incident. Změna hesel nebo smazání jednoho webshellu nemusí odstranit další přístup útočníka. Podle rozsahu může být nutná izolace, obnova z důvěryhodného zdroje a výměna dotčených přihlašovacích údajů. Postup musí chránit i dostupnost kritických firemních procesů.

Prevence má pokračovat i po aktualizaci

Udržujte inventář serverů a závislostí, sledujte bezpečnostní oznámení a určete, kdo rozhoduje o urgentní opravě. Otestujte obnovu, síťové oddělení a přístupy správců. Každé opatření má mít vlastníka a ověřitelný výsledek. Firma pak při dalším varování nezačíná zjišťováním, kdo se o server vlastně stará.

Ověřeno 2. listopadu 2026. Fragnesia CVE-2026-46300 je odlišná od chyby IPv4/TCP CVE-2026-98432.