CVE-2026-46300 Fragnesia : Linux Kernel LPE CISA KEV chainé PHP2Shell

Les faits

CVE-2026-46300, surnommé Fragnesia par les chercheurs en sécurité, est une vulnérabilité d'élévation de privilèges locaux (Local Privilege Escalation, LPE) dans le noyau Linux. La faille réside dans le chemin de traitement XFRM ESP-in-TCP (IPsec) du noyau. Elle a été ajoutée au catalogue Known Exploited Vulnerabilities (KEV) de la CISA le 28 octobre 2026, avec un délai de remédiation exceptionnel de seulement trois jours, au 31 octobre 2026, témoignant de la gravité de la situation.

Techniquement, la vulnérabilité trouve son origine dans la fonction skb_try_coalesce() du noyau Linux. Cette fonction, qui tente de fusionner des socket buffers adjacents pour optimiser les performances réseau, déplaçait des fragments de données adossés au page cache d'un socket buffer à l'autre sans préserver le marqueur SKBFL_SHARED_FRAG. Ce marqueur indique que le fragment partagé appartient au page cache du noyau et ne doit pas être modifié en place.

Lors du traitement ESP-in-TCP en entrée, le noyau procédait à un déchiffrement AES-GCM en place sur ces fragments, sans savoir qu'ils pointaient vers le page cache de fichiers en lecture seule. Le résultat est qu'un attaquant pouvait XOR ses propres octets de keystream AES-GCM dans le page cache de fichiers système normalement protégés en écriture, autrement dit modifier en mémoire des fichiers système critiques comme /etc/pam.d/su sans en avoir les permissions disques.

La chaine d'exploitation confirmée par les chercheurs de Tenable combine Fragnesia avec les vulnérabilités PHP2Shell (CVE-2026-109618 et CVE-2026-109619). Dans cette chaine, un attaquant exploite d'abord PHP2Shell pour obtenir une exécution de code distant en tant que l'utilisateur web (www-data) sur un serveur Linux hébergeant PHP. Ensuite, depuis cet accès initial limité, l'attaquant déploie Fragnesia pour écraser le fichier /etc/pam.d/su avec pam_permit.so, une bibliothèque PAM qui autorise toute élévation de privilèges sans vérification de mot de passe. L'attaquant obtient alors un accès root complet sur le serveur.

Selon les données de threat intelligence publiées le 28 octobre 2026, 25 serveurs ont été compromis via cette chaine d'exploitation, dont des systèmes appartenant à un réseau affilié au gouvernement américain. Les systèmes ciblés comprennent principalement des appliances de sécurité réseau (firewalls) et des serveurs web exposés sur Internet hébergeant PHP. Cette exploitation in-the-wild a motivé l'inscription d'urgence au catalogue KEV CISA, avec des délais de remédiation parmi les plus courts jamais imposés.

CVE-2026-46300 a été assigné un score CVSS 3.1 de 7.8 (Elevé) avec le vecteur AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Le vecteur local (AV:L) reflète le fait que Fragnesia est une LPE et nécessite un accès local initial au système, typiquement obtenu via une autre vulnérabilité comme PHP2Shell. La combinaison avec une RCE distante comme PHP2Shell transforme cette LPE en une chaine d'exploitation complète et particulièrement dévastatrice.

La FAQ publiée par Tenable le 28 octobre 2026 indique que la vulnérabilité affecte les noyaux Linux compilés avec le support XFRM (IPsec) et ESP-in-TCP, ce qui correspond à la majorité des distributions Linux modernes : Debian, Ubuntu, RHEL, CentOS, Amazon Linux, Alpine. Les vendeurs de distributions ont commencé à publier des mises à jour de sécurité entre le 26 et le 28 octobre 2026. La priorité de déploiement de ces correctifs doit être maximale.

L'aspect le plus préoccupant de Fragnesia est sa complémentarité parfaite avec PHP2Shell. PHP2Shell, également ajouté au catalogue KEV CISA le 26 octobre 2026, fournit le vecteur d'accès initial distant. Fragnesia complète la chaine en donnant un accès root au système. Cette combinaison constitue une kill chain complète permettant à un attaquant distant de compromettre totalement un serveur Linux hébergeant PHP, sans aucune authentification préalable.

La nature de la primitive de corruption mémoire exploitée dans Fragnesia est particulièrement inquiétante pour les équipes de réponse à incident. La modification du page cache est une opération en mémoire qui ne génère pas de traces d'écriture disque traditionnelles, rendant la détection forensique plus complexe. Les organisations ayant des systèmes potentiellement compromis doivent effectuer une analyse mémoire en plus des analyses disque habituelles pour détecter des modifications de fichiers PAM en mémoire.

Impact et exposition

La vulnérabilité Fragnesia affecte l'ensemble des serveurs Linux hébergeant PHP qui n'ont pas encore patché PHP2Shell (CVE-2026-109618/CVE-2026-109619). Les serveurs web, les appliances de sécurité sous Linux, les systèmes de gestion de contenu (WordPress, Drupal, Joomla) et les applications web PHP constituent les cibles prioritaires. Les organisations ayant patché PHP2Shell mais pas encore le noyau Linux restent exposées si un autre vecteur d'accès initial est disponible.

La corruption du page cache via AES-GCM keystream permet d'aller au-delà de la simple élévation de privilèges. Un attaquant peut potentiellement modifier d'autres fichiers système en lecture seule en mémoire, injecter du code dans des processus système, ou installer des backdoors persistantes. L'exploitation de Fragnesia comme primitive de corruption mémoire générique est encore en cours d'investigation par la communauté de recherche.

Le délai de remédiation CISA de trois jours (28 au 31 octobre) signale une exploitation active à grande échelle. Les 25 compromissions confirmées représentent probablement la partie visible de l'iceberg, compte tenu des limitations de détection sur les systèmes non surveillés. Les organisations utilisant des appliances de sécurité réseau basées sur Linux doivent traiter cette vulnérabilité en priorité absolue.

Recommandations immédiates

• Mettre à jour le noyau Linux immédiatement via le gestionnaire de paquets de la distribution (apt upgrade linux-image, yum update kernel)
• Patcher également PHP2Shell (CVE-2026-109618/CVE-2026-109619) — advisory PHP 8.4.x, 8.3.x, 8.2.x publiés le 21 octobre 2026
• Si la mise à jour immédiate est impossible : désactiver temporairement le support XFRM ESP-in-TCP via sysctl (attention : impacte les politiques IPsec actives)
• Vérifier les logs PAM et les modifications de /etc/pam.d/ pour détecter des signes de compromission
• Indicateurs de compromission (IoC) : présence de pam_permit.so dans /etc/pam.d/su, nouvelles règles PAM non autorisées, webshells PHP dans les répertoires web