Fragnesia nel KEV CISA: il reboot per la patch cancella le evidenze dell'attacco

CISA ha catalogato Fragnesia come vulnerabilità attivamente sfruttata concatenata con PHP2Shell per ottenere root su server Linux. Dream Security documenta 25 server compromessi, con incertezza su due o tre in ambiente governativo USA.

Nota editoriale: I dettagli operativi della campagna con 25 server compromessi provengono da un unico report di Dream Security, non ancora replicato da fonti indipendenti. CISA ha verificato exploitation in-the-wild per Fragnesia nel catalogo KEV, ma non ha confermato i dettagli specifici della campagna Dream. Le analisi tecniche su memoria e forensic triage sono attribuite agli esperti citati.

CISA ha inserito CVE-2026-46300, nota come Fragnesia, nel catalogo Known Exploited Vulnerabilities il 28 ottobre 2026. L'agenzia federale avverte che la falla di escalation di privilegi nel kernel Linux viene concatenata con due vulnerabilità PHP (CVE-2026-109618 e CVE-2026-109619, collettivamente PHP2Shell) per passare da un'entry point web a shell con privilegi di root. Dream Security ha documentato una campagna che ha compromesso 25 server in quattro paesi, con exploitation il 23-24 ottobre. Sul numero di target governativi USA le fonti divergono: Dream cita tre sistemi in ambiente affiliato al governo, SecurityWeek ne riporta due.

Punti chiave

CISA ha catalogato Fragnesia (CVE-2026-46300, CVSS 7.8) nel KEV con avviso esplicito di chaining con PHP2Shell (CVE-2026-109618/109619, CVSS 9.2 ciascuno) per ottenere root su server Linux.
Dream Security ha documentato 25 server compromessi in USA, Giappone, Taiwan e Corea del Sud, con exploitation concentrata il 23-24 ottobre 2026; fonti discordanti su due o tre target in ambiente governativo USA.
Gli attaccanti hanno usato FOFA per identificare circa 19.000 firewall esposti, riducendo il pool a circa 240 target potenziali dopo filtri geografici e per versione PHP.
Il meccanismo Fragnesia perde il marcatore SKBFL_SHARED_FRAG durante skb_try_coalesce(), permettendo scrittura in-place su strutture kernel in page cache.

La catena che annulla il confine tra web e kernel

La struttura dell'attacco è bidirezionale: PHP2Shell apre la porta, Fragnesia eleva il privilegio. CVE-2026-109618 e CVE-2026-109619 hanno ciascuno CVSS 9.2 e permettono esecuzione remota di codice non autenticata attraverso il parser PHP. Una volta ottenuto accesso come utente web, gli attaccanti innescano CVE-2026-46300 nel sottosistema XFRM ESP-in-TCP del kernel Linux. Fragnesia ha CVSS 7.8. Non esiste un punteggio CVSS aggregato per la catena completa.

Il meccanismo tecnico, documentato da William Bowling di Zellic nella scoperta originale di maggio 2026, riguarda la funzione skb_try_coalesce() che perde il marcatore SKBFL_SHARED_FRAG. Questa perdita permette una scrittura in-place su strutture kernel in page cache. La compromissione risiede in memoria, non su disco.

Analisi: Gli strumenti di file integrity monitoring basati su hash del filesystem non rilevano modifiche che restano esclusivamente in RAM. Questa caratteristica, evidenziata da Aaron Beardslee di Securonix, rende la fase di privilege escalation invisibile ai controlli tradizionali su disco.

CISA descrive esplicitamente la concatenazione nel testo del catalogo KEV: "This vulnerability can be chained with CVE-2026-109618 and CVE-2026-109619 to implant PHP webshells and run commands as root". L'agenzia segnala una catena operativa documentata in-the-wild, non due fatti indipendenti.

25 server, due continenti, e una build custom non da PoC pubblico

Dream Security ha ricostruito il ciclo di vita dell'operazione. Secondo quanto riportato da BleepingComputer e confermato da SecurityWeek, i ricercatori hanno recuperato liste di target, log di exploitation e circa 40 script di post-exploitation personalizzati. La build PHP2Shell analizzata era custom, non derivata da proof-of-concept pubblici: un dato che indica sviluppo proprietario o almeno adattamento significativo.

La ricognizione preliminare ha sfruttato FOFA. Gli attaccanti hanno identificato circa 19.000 firewall di un vendor specifico con interfacce di gestione esposte, filtrando poi a circa 240 target potenziali attraverso criteri geografici e di versione PHP. L'esecuzione effettiva ha colpito 25 server nel fine settimana del 23-24 ottobre.

Sul numero di server governativi USA le fonti non concordano: Dream riferisce tre sistemi in ambiente affiliato al governo, SecurityWeek ne indica due. La discrepanza potrebbe derivare da definizioni diverse di "ambiente governativo" o da aggiornamenti successivi del conteggio. Dream non ha precisato la natura esatta di questo ambiente né ha attribuito la campagna a un gruppo APT cinese nominativo, limitandosi al qualificatore "suspected China-nexus".

L'AI nei log: strumento, non solo artefatto

Dream ha rilevato tracce di tooling AI-assisted nella campagna. Secondo Tech Insider, i ricercatori hanno trovato API key per servizi come aiscan, riferimenti a modelli DeepSeek e Kimi, e l'installazione di Claude Code sui sistemi compromessi. La struttura e la coerenza tra i circa 40 script recuperati suggeriscono che l'intelligenza artificiale abbia assistito nella generazione del codice.

Il dato ha una duplice lettura. Da un lato, abbassa la soglia di competenza tecnica richiesta per produrre strumenti operativi custom. Dall'altro, la campagna del 23-24 ottobre è partita due giorni dopo il rilascio delle patch PHP del 21 ottobre 2026 (versioni 8.2.35, 8.3.36, 8.4.27, 8.5.12).

Analisi: Se l'intervallo di due giorni rifletta l'uso dell'AI per accelerare lo sviluppo post-patch o una preparazione pre-patch non è verificabile dai documenti consultati. Dream non ha fornito evidenza che chiuda questa incertezza.

"Patch the kernel, and capture memory first on anything you suspect. The triage order matters more here than it usually does, because the reboot is what erases the evidence."
— Aaron Beardslee, Securonix

Cosa fare adesso

CISA ha emesso la Binding Operational Directive 26-04, che impone alle agenzie federali USA di applicare le patch entro il 31 ottobre 2026. L'ordine riguarda specificamente la correzione di CVE-2026-46300 e delle vulnerabilità PHP associate. Per le organizzazioni al di fuori del perimetro federale, il caso solleva tre priorità operative.

Primo: aggiornare PHP alle versioni del 21 ottobre 2026 — 8.2.35, 8.3.36, 8.4.27, 8.5.12 — e applicare le patch kernel per Fragnesia. La catena richiede entrambi gli anelli; correggere solo PHP lascia aperta la strada all'escalation locale.

Secondo: sui sistemi sospetti, catturare la memoria prima del reboot. La raccomandazione di Beardslee — "capture memory first on anything you suspect" — è un consiglio di esperto, non una direttiva CISA. La BOD 26-04 richiede "forensic triage" ma non specifica l'ordine operativo dettagliato.

Terzo: verificare che gli strumenti di monitoring in uso rilevino anomalie di memoria, non solo di disco. La fonte originale (Beardslee) indica che la compromissione è "invisible to disk-based integrity checking". CISA non elenca prodotti specifici né prescrive tecnologie di rilevazione.

Il CERT-AGID italiano ha rilevato 467 URL potenzialmente vulnerabili al 26 ottobre 2026, in calo dai 650 iniziali. Il dato conferma che la superficie di attacco resta significativa anche dopo il rilascio delle patch.

Chiusura editoriale

La catena Fragnesia-PHP2Shell non introduce vulnerabilità nuove, ma ne combina due note in un percorso operativo concreto. Il valore informativo sta nel modo in cui CISA ha riconosciuto questo chaining come minaccia in-the-wild, e nel dettaglio con cui Dream ha ricostruito una campagna reale. La cautela rimane d'obbligo: i dettagli della campagna 25-server provengono da una sola fonte strutturata, e alcune inferenze tecniche — in particolare sul triage forense — sono opinioni di esperti, non direttive governative. Il confine tra ciò che CISA ha verificato, ciò che Dream ha riportato e ciò che gli analisti hanno interpretato deve restare visibile nel testo.

Fonti

Fonti e riferimenti

Ricevi DeafLetter