Fragnesia CVE-2026-46300 bị khai thác cùng PHP2Shell để chiếm root

Fragnesia CVE-2026-46300, lỗi leo thang đặc quyền trong kernel Linux, đã được Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) đưa vào danh mục lỗ hổng đang bị khai thác (KEV) ngày 28/10/2026. Điểm đáng lo là CISA xác nhận lỗi này đang được ghép với cặp lỗ hổng PHP2Shell để cài webshell PHP và chạy lệnh với quyền root. Nói cách khác, một server Linux chạy website PHP chưa vá cả hai phía có thể bị chiếm toàn quyền từ xa.

Tóm tắt nhanh

• Lỗ hổng kernel: CVE-2026-46300 (Fragnesia), CVSS 3 là 7.8, lỗi trong phần XFRM ESP-in-TCP, có mã khai thác công khai.
• Lỗ hổng PHP đi kèm: CVE-2026-109618 và CVE-2026-109619 (PHP2Shell), cho phép chạy mã từ xa không cần đăng nhập.
• Mốc KEV: PHP2Shell vào KEV ngày 26/10/2026, Fragnesia vào KEV ngày 28/10/2026.
• Hậu quả: webshell PHP được cài, lệnh chạy với quyền root.
• Việc cần làm: cập nhật kernel và khởi động lại, nâng PHP lên bản đã vá, rà soát file PHP lạ.

Fragnesia là gì?

Fragnesia thuộc nhóm lỗi "Dirty Frag" trong kernel Linux. Theo mô tả trên trang theo dõi bảo mật của Debian và Ubuntu, khi hàm skb_try_coalesce() chuyển các mảnh dữ liệu từ socket buffer này sang socket buffer khác, kernel làm mất dấu hiệu "mảnh dùng chung". Phần xử lý ESP sau đó có thể giải mã đè trực tiếp lên dữ liệu thuộc page cache. Ubuntu cho biết kẻ tấn công cục bộ có thể lợi dụng lỗi để nâng quyền, thậm chí có thể thoát khỏi container.

Lỗi được công bố từ giữa tháng 5/2026 và đã có mã khai thác mẫu công khai. Theo BleepingComputer, lỗi ảnh hưởng các bản phân phối Linux lớn dùng kernel phát hành trước ngày 13/5/2026. Vì là lỗi cục bộ, nhiều quản trị viên từng xếp nó sau các lỗi chạy mã từ xa. Chuỗi tấn công mới cho thấy cách xếp hạng đó không còn phù hợp.

Chuỗi tấn công PHP2Shell và Fragnesia

Trong thông báo, CISA viết rằng Fragnesia "có thể được ghép với CVE-2026-109618 và CVE-2026-109619 để cài webshell PHP" và chạy lệnh với quyền root. Cách hoạt động khá rõ: PHP2Shell cho kẻ tấn công chạy mã với quyền của tiến trình web (thường là www-data hoặc apache), rồi Fragnesia nâng quyền đó lên root.

Báo cáo do công ty Dream công bố ngày 26/10/2026 mô tả một chiến dịch dùng đúng chuỗi này. Theo Dream, chiến dịch đã chiếm quyền root 25 máy chủ, gồm 24 tường lửa biên và một máy chủ quản trị nội bộ, trong đó có hệ thống thuộc môi trường liên quan tới chính phủ Mỹ. BleepingComputer cho biết các máy bị chiếm nằm ở Mỹ, Nhật Bản, Đài Loan và Hàn Quốc, và Dream tìm thấy khoảng 40 script dùng sau khi xâm nhập. Dream không nêu tên hãng sản xuất thiết bị bị ảnh hưởng và chỉ đưa ra nhận định ban đầu về một nhóm có liên hệ với Trung Quốc.

Ngoài ra, theo Unite.AI, bộ phận tình báo mối đe dọa của Amazon ghi nhận các lượt thử khai thác PHP2Shell trên mạng honeypot MadPot từ ngày 17/10/2026, trước khi lỗi được công bố.

Bản kernel đã vá theo bản phân phối

Với AlmaLinux, Rocky Linux, RHEL hay CentOS Stream, hãy kiểm tra trang tư vấn bảo mật của bản phân phối cho CVE-2026-46300.

Bản PHP cần cài

Dự án PHP phát hành bản vá PHP2Shell ngày 21/10/2026: 8.5.12, 8.4.27, 8.3.36 và 8.2.35. PHP 8.1 trở về trước không có bản sửa chính thức. Nếu dùng gói PHP của Ubuntu, Debian, RHEL hay của bảng điều khiển hosting, số phiên bản có thể khác; hãy đối chiếu changelog có nhắc tới hai mã CVE thay vì chỉ so số phiên bản. Chi tiết về PHP2Shell có trong bài PHP2Shell: lỗ hổng RCE nghiêm trọng của PHP.

Chủ VPS cần làm gì ngay?

1. Xem kernel đang chạy: uname -r, đối chiếu với bảng trên.
2. Cập nhật kernel: trên Ubuntu/Debian chạy sudo apt update && sudo apt full-upgrade; trên họ RHEL chạy sudo dnf update kernel.
3. Khởi động lại để kernel mới có hiệu lực (sudo reboot), rồi kiểm tra lại bằng uname -r. Nếu dùng dịch vụ livepatch, xác nhận bản vá đã được áp.
4. Kiểm tra PHP: chạy php -v và kiểm tra từng phiên bản PHP-FPM đang dùng (nhiều server cài song song nhiều bản).
5. Tìm file PHP lạ mới xuất hiện trong thư mục web và thư mục tạm, ví dụ find /var/www /tmp /var/tmp -name "*.php" -mtime -14.
6. Rà soát tài khoản và tác vụ định kỳ: xem /etc/passwd, ~/.ssh/authorized_keys của root, crontab và các service systemd mới.

Nếu phát hiện dấu hiệu bị xâm nhập ở mức root, cách an toàn nhất là dựng lại server từ bản sạch, khôi phục dữ liệu từ bản sao lưu trước thời điểm bị tấn công và đổi toàn bộ mật khẩu, khóa API lưu trên máy. Với các website dùng shared hosting, hãy hỏi nhà cung cấp đã cập nhật kernel và PHP hay chưa.

Nguồn tham khảo

• BleepingComputer: CISA warns of Fragnesia Linux flaw chained in PHP2Shell attacks
• Ubuntu Security: CVE-2026-46300
• Debian Security Tracker: CVE-2026-46300
• Unite.AI: Dream reports PHP2Shell attack chain that compromised 25 servers