PHP2Shell i Fragnesia uderzają w firewalle

Łańcuch ataku, który kończy się rootem

Połączenie dwóch podatności — PHP2Shell oraz Fragnesia — pozwoliło cyberprzestępcom przejść od dostępu do aplikacji webowej do pełnej kompromitacji systemu Linux. W jednej z opisanych kampanii na celowniku znalazły się firewalle, a efekt był poważny: z 240 wskazanych urządzeń udało się przejąć 24, uzyskując na nich uprawnienia root.

Sprawa jest o tyle groźna, że mówimy o dwóch lukach działających na różnych poziomach systemu. PHP2Shell daje zdalne wykonanie kodu bez uwierzytelnienia, a Fragnesia pozwala na lokalną eskalację uprawnień w jądrze Linuxa. W praktyce oznacza to, że atakujący może najpierw wejść przez warstwę webową, a potem podnieść swoje uprawnienia do najwyższych możliwych.

Jak działa ta kombinacja

W uproszczeniu scenariusz wygląda tak:

1. Atak na PHP – podatne i wystawione na Internet środowisko PHP umożliwia wykonanie kodu z uprawnieniami procesu webowego.
2. Dostęp lokalny na hostcie – po pierwszym etapie atakujący ma punkt zaczepienia na systemie Linux.
3. Eskalacja przez Fragnesia – luka w jądrze pozwala przejść z konta ograniczonego do roota.

W opisywanym przypadku cały proces miał przebiegać bardzo szybko, w czasie krótszym niż 15 minut. Na kompromitowanych urządzeniach instalowano webshell PHP, który dawał dalszą kontrolę nad systemem.

CISA alarmuje o aktywnym wykorzystywaniu

Amerykańska agencja CISA dodała CVE-2026-46300, czyli Fragnesia, do katalogu Known Exploited Vulnerabilities. To oznacza, że podatność jest wykorzystywana w realnych atakach i wymaga pilnego załatania. W tym samym katalogu znalazły się też dwie luki PHP: CVE-2026-109618 i CVE-2026-109619.

CISA zwraca uwagę, że Fragnesia może być łączona z tymi podatnościami PHP, aby instalować webshell i wykonywać polecenia z wysokimi uprawnieniami. Innymi słowy, sama luka w PHP nie kończy się jeszcze pełnym przejęciem systemu, ale otwiera drogę do kolejnego etapu ataku.

Co wiadomo o kampanii

Badacze, którzy przeanalizowali artefakty tej operacji, znaleźli m.in.:

• dopasowany exploit dla PHP2Shell,
• elementy wykorzystujące Fragnesia,
• listy celów,
• logi,
• kilkadziesiąt skryptów do działań po przełamaniu zabezpieczeń.

Zidentyfikowano około 19 tysięcy wystawionych firewallem urządzeń, z których po filtracji wybrano 240 jako realne cele. Ataki dotknęły urządzeń w Stanach Zjednoczonych, Japonii, na Tajwanie i w Korei Południowej.

Szczególnie niepokojący był dalszy etap działań: dwa przejęte firewalle należały do organizacji powiązanej z rządem USA. Przez tunel reverse SSH atakujący uzyskał dostęp do serwera zarządzającego firewallami, a stamtąd próbował przejść do Active Directory.

Dlaczego to może dotyczyć także innych środowisk

Choć opis kampanii koncentruje się na firewallach, problem ma szerszy wymiar. PHP jest powszechnie używany w aplikacjach internetowych, także w środowiskach administracyjnych i urządzeniach sieciowych. Jeśli warstwa webowa działa na podatnej wersji, a na hoście obecna jest podatność w jądrze Linuxa, atak może przejść z poziomu aplikacji do poziomu systemu.

Warto też pamiętać, że samo posiadanie Linuxa nie oznacza automatycznie podatności. Liczy się konkretna wersja jądra, dostępne moduły, aktualizacje dostarczone przez producenta oraz konfiguracja środowiska.

Aktualizacje są dostępne

Dla PHP poprawki pojawiły się 21 października i obejmują wersje:

• 8.2.35
• 8.3.36
• 8.4.27
• 8.5.12

W przypadku Fragnesii konieczne jest zastosowanie poprawek kernela dostarczonych przez dystrybutora systemu. Dodatkowo część producentów zaleca tymczasowe ograniczenia, ale ich wdrożenie trzeba dobrze przemyśleć, bo mogą wpływać na działanie VPN, kontenerów lub innych usług zależnych od modułów sieciowych.

Co powinny zrobić organizacje

Najważniejsze działania to:

• sprawdzić, gdzie w środowisku działa PHP i w jakiej wersji,
• porównać to z wersją faktycznie uruchomioną na serwerze,
• zweryfikować, które hosty Linuxa są narażone na Fragnesię,
• skorelować logi webowe, systemowe i kernelowe,
• poszukać śladów webshelli, nietypowych procesów i zmian w uprawnieniach,
• nie ograniczać się do samej instalacji patcha, bo pozostawiona tylna furtka nadal może dawać dostęp napastnikowi.

Wnioski

To dobry przykład tego, jak groźna potrafi być łańcuchowa eksploatacja kilku słabości naraz. Osobno każda z nich już stanowi problem, ale dopiero razem pozwalają przejść od zwykłego dostępu do aplikacji do pełnej kontroli nad systemem. W środowiskach wystawionych do Internetu taka kombinacja oznacza realne ryzyko przejęcia infrastruktury w bardzo krótkim czasie.