CISA añadió a su catálogo de vulnerabilidades explotadas (KEV) la CVE-2026-46300, conocida como Fragnesia, una escalada local de privilegios en el kernel de Linux. La agencia la vincula con la campaña PHP2Shell: encadenada con las fallas de PHP CVE-2026-109618 y CVE-2026-109619, permite pasar de ejecución remota de código a root en un servidor web. Para quienes operan Linux con PHP, el parche del kernel ya es parte de la respuesta a esta campaña.
Fragnesia es una falla en el código XFRM de ESP-in-TCP del kernel de Linux. La causa raíz está en la función skb_try_coalesce(), que al fusionar buffers de red descarta el marcador de fragmentos compartidos aunque el buffer todavía contenga fragmentos respaldados por la caché de páginas. Como resultado, el procesamiento de entrada ESP descifra esos fragmentos en su lugar y un usuario local sin privilegios puede escribir bytes arbitrarios en la caché de páginas de archivos de solo lectura, incluidos binarios privilegiados, y obtener root. Según la cobertura, no requiere una condición de carrera, por lo que resulta confiable de explotar.
