CISA در مورد نقص لینوکس Fragnesia در حملات PHP2Shell هشدار می دهد

آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) به آژانس‌های فدرال هشدار داد تا یک اشکال شدید افزایش امتیاز هسته لینوکس را که مهاجمان با نقص‌های PHP2Shell در طبیعت زنجیره‌وار می‌کنند، اصلاح کنند.

این آسیب‌پذیری که به‌عنوان CVE-2026-46300 دنبال می‌شود و با نام Fragnesia شناخته می‌شود، از یک باگ منطقی در زیرسیستم Linux XFRM ESP-in-TCP سرچشمه می‌گیرد که به مهاجمان اجازه می‌دهد کدهای مخرب را با مجوزهای ریشه اجرا کنند.

Fragnesia متعلق به کلاس آسیب‌پذیری Dirty Frag است و دارای یک سوء استفاده اثبات مفهوم (PoC) است که مهاجمان محلی می‌توانند از آن برای به دست آوردن امتیازات ریشه در توزیع‌های اصلی لینوکس با هسته‌هایی که قبل از ۱۳ می ۲۰۲۶ منتشر شده‌اند استفاده کنند.

CISA روز چهارشنبه CVE-2026-46300 را به کاتالوگ آسیب پذیری های مورد سوء استفاده شناخته شده (KEV) خود اضافه کرد و به آژانس های فدرال دستور داد تا سیستم های خود را تا روز شنبه 10 وصله کنند، همانطور که توسط دستورالعمل عملیاتی الزام آور (BOD) 26-04 الزامی شده است.

آژانس امنیت سایبری جزئیاتی در مورد حملات Fragnesia در حال انجام به اشتراک نمی گذارد، اما خاطرنشان کرد که عوامل تهدید می توانند آن را با دو آسیب پذیری حیاتی PHP (CVE-2026-109618 و CVE-2026-109619)، که به طور جمعی به عنوان سیستم های PHP2Shell ردیابی نشده اند، در webpatch ردیابی کنند.

CISA گفت: «این آسیب‌پذیری را می‌توان با CVE-2026-109618 و CVE-2026-109619 برای کاشت پوسته‌های وب PHP و اجرای دستورات به‌عنوان روت زنجیر کرد».

در حالی که CISA اطلاعات بیشتری در مورد مهاجمانی که نقص‌های Fragnesia و PHP2Shell را به زنجیر می‌کشند ارائه نکرد، تحلیلگران Dream Security در گزارشی روز دوشنبه گفتند که این آسیب‌پذیری‌ها برای نفوذ به بیش از دوجین سرور از جمله سه مورد متعلق به یک سازمان وابسته به دولت ایالات متحده استفاده شده است.

"محققان رویا یک عملیات حمله کامل را شناسایی کردند که شامل یک تسلیحات سفارشی از زنجیره بهره برداری PHP2Shell (CVE-2026-109618/CVE-2026-109619) همراه با افزایش امتیاز هسته Fragnesia (CVE-2026-463)، لیست های هدف، 2026-463 می شود. اسکریپت های سفارشی پس از بهره برداری،" آنها گفتند.

"این شامل مصنوعات یک کمپین بود که 25 سرور را در سراسر ایالات متحده، ژاپن، تایوان و کره جنوبی روت کرده بود. مهاجم پس از روت کردن، سه سرور خاص را در یک محیط وابسته به دولت ایالات متحده به صفر رساند."

CISA همچنین روز دوشنبه نقص‌های PHP2Shell را به لیست آسیب‌پذیری‌های مورد سوء استفاده فعال خود اضافه کرد و سازمان‌های شعبه اجرایی غیرنظامی فدرال (FCEB) را موظف کرد تا روز پنجشنبه شبکه‌های خود را ایمن کنند.

در حالی که آژانس امنیت سایبری ایالات متحده هنوز جزئیات بیشتری در مورد حملات PHP2Shell ارائه نکرده است، مهندس امنیتی Perplexity، عادل کریمی، پس از ثبت شواهدی مبنی بر اجرای کد از راه دور در Apache mod_php که PHP 8.4.26 را اجرا می‌کند، عادل کریمی، بهره‌برداری درونی در آخر هفته را تایید کرد.

هنگامی که BleepingComputer اوایل امروز تماس گرفت، سخنگوی CISA نمی‌توانست فورا اطلاعات بیشتری در مورد عوامل تهدید کننده که احتمالا Fragnesia و PHP2Shell را در حملات زنجیره‌ای می‌کنند، به اشتراک بگذارد.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

CISA تأیید می کند که آسیب پذیری های PHP2Shell اکنون در حملات مورد سوء استفاده قرار گرفته اند

CISA در مورد بهره برداری فعال از سه نقص هسته لینوکس هشدار می دهد

CISA به فدرال رزرو هشدار می دهد که به طور کامل نقص های سیسکو را که به طور فعال مورد سوء استفاده قرار گرفته اند اصلاح کنند

CISA هشدار می دهد که هکرها اکنون از نقص مهم Node2Shell سوء استفاده می کنند

نقص های امنیتی PHP2Shell اکنون با موفقیت در طبیعت مورد سوء استفاده قرار گرفته است