CISA menambahkan CVE-2026-46300, celah kernel Linux yang dijuluki Fragnesia, ke katalog celah yang dieksploitasi (KEV) pada 28 Oktober 2026. Celah ini memberi pengguna lokal berhak rendah jalan menuju akses root. CISA memperingatkan bahwa celah tersebut sudah dirangkai dengan dua celah PHP2Shell, CVE-2026-109618 dan CVE-2026-109619, untuk menanam webshell PHP dan menjalankan perintah sebagai root.
Cara kerja rantai serangan dan siapa yang terdampak
Fragnesia berada di kode XFRM ESP-in-TCP pada kernel. Menurut tim CVE kernel Linux, fungsi skb_try_coalesce() bisa memindahkan memori page cache tanpa penanda fragmen bersama, sehingga ESP mendekripsi langsung di atas halaman milik berkas. Red Hat menyebut pengguna lokal berhak rendah bisa menulis byte sembarang ke page cache berkas yang hanya bisa dibaca, lalu naik menjadi root. NVD, tim CVE kernel, dan Red Hat memberi skor CVSS 3.1 sebesar 7,8. Bug ini sudah ada sejak Linux 3.9 dan diungkap pada 13 Mei 2026 bersama kode bukti konsep publik.
Karena butuh akses lokal, celah ini berbahaya bila penyerang sudah punya pijakan lewat aplikasi web yang dibobol. Di sinilah PHP2Shell masuk. Dream Security melaporkan rantai itu menguasai 25 server di Amerika Serikat, Jepang, Taiwan, dan Korea Selatan, termasuk tiga server di lingkungan yang terkait pemerintah AS. Menurut CSO Online, penyerang juga menyasar firewall Palo Alto Networks dengan build PAN-OS yang rentan. Pelaku belum dipastikan; seorang analis Securonix menyebut atribusinya masih diperdebatkan, dan CISA belum membuka rincian serangan. Kami sudah membahas sisi PHP dalam liputan PHP2Shell.
Versi kernel yang diperbaiki
Rescana merangkum perbaikan upstream di kernel 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33, 7.0.10, dan 7.1. Untuk distribusi, RHEL 8, 9, dan 10 sudah mendapat kernel perbaikan sejak 20 Mei 2026, sedangkan RHEL 6 dan 7 tidak terdampak. Ubuntu 22.04, 24.04, 25.10, dan 26.04 sudah punya kernel perbaikan, begitu pula Debian 11, 12, dan 13 serta Amazon Linux 2 dan 2023. Perangkat tertanam dan appliance memakai kernel vendor, jadi perlu pembaruan firmware dari pembuatnya. Patch PHP atau PAN-OS tidak menutup celah kernel ini, sehingga keduanya harus dipasang terpisah.
Langkah yang perlu Anda ambil
Pasang kernel perbaikan dari distribusi Anda lalu reboot, dan pastikan kernel yang benar-benar berjalan lewat perintah uname -r, bukan hanya paket yang terpasang. Bila Anda curiga sebuah server sudah disusupi, CSO Online menyarankan menyimpan salinan memori sebelum reboot, karena tekniknya hanya mengubah data di memori dan reboot menghapus jejaknya. Jika belum bisa menambal, Red Hat dan Ubuntu mendokumentasikan pemblokiran modul esp4 dan esp6, tetapi langkah itu mematikan IPsec, misalnya VPN strongSwan, jadi periksa dulu dengan lsmod. Batasi juga akses lokal: matikan SSH yang tidak dipakai dan jalankan layanan web sebagai pengguna non-root.
Bagi pengelola hosting dan server PHP di Indonesia, urutannya jelas: tambal PHP, tambal kernel, lalu periksa apakah ada proses web yang membuka shell root.
Sumber: BleepingComputer, CSO Online, dan Rescana. Gambar: BleepingComputer.