Fragnesia CVE-2026-46300 : patcher le noyau (PHP2Shell)

Fragnesia est le nom donné à CVE-2026-46300, une faille du noyau Linux divulguée le 13 mai 2026 avec une preuve de concept publique. Le défaut tient en une phrase : la fonction skb_try_coalesce() perd le marqueur qui signale un fragment partagé, si bien que le déchiffrement ESP s'exécute en place sur des pages du page cache. Un processus sans privilège peut alors modifier en mémoire un fichier pourtant en lecture seule, comme /usr/bin/su, et obtenir root. Le score CVSS 3 est de 7,8, et Ubuntu classe la faille en priorité High. Les correctifs existent depuis mai : AlmaLinux les a mis en production le 16 mai 2026. Ce qui change fin octobre 2026, c'est le contexte, car la CISA a inscrit la faille à son catalogue des vulnérabilités exploitées le 28 octobre 2026.

Une élévation de privilèges locale ne se déclenche pas toute seule : il faut d'abord un point d'entrée. Sur un serveur d'agence, il est tout trouvé, c'est un site PHP. PHP2Shell désigne deux failles de l'interpréteur, CVE-2026-109618 et CVE-2026-109619, qui permettent d'exécuter du code sans authentification. Le webshell tourne alors sous le compte du site, sans privilège. Fragnesia est la marche suivante : elle fait passer ce compte à root. La société Dream rapporte avoir observé cette combinaison dans une campagne visant des pare-feu ; c'est le récit d'un seul éditeur, que la CISA ne confirme pas. Côté CISA, CVE-2026-46300 figure au catalogue avec une échéance au 31 octobre 2026 et un triage forensique demandé aux agences américaines. Retenez surtout ceci : corriger PHP ferme l'entrée, pas l'escalade. Un serveur visité avant le correctif PHP reste dangereux tant que son noyau n'est pas à jour. Le guide PHP2Shell lié sous cet article détaille le premier volet.

C'est le piège qui transforme un « tout est à jour » en serveur encore vulnérable. Installer un paquet noyau dépose de nouveaux fichiers dans /boot, mais le noyau en mémoire reste celui du dernier démarrage. Tant que la machine n'a pas redémarré, apt ou dnf peuvent afficher un système à jour pendant que uname -r répond encore avec l'ancien numéro. C'est fréquent sur un parc, pour une raison simple : personne n'aime redémarrer un serveur qui porte des sites clients, donc le redémarrage attend. Deux repères évitent la confusion. Sur Ubuntu, le numéro de la table s'écrit en deux parties : 5.15.0-181.191 correspond à 5.15.0-181-generic dans uname -r. Sur Debian, uname -r montre l'ABI du noyau, pas la version du paquet ; c'est uname -v qui affiche la version complète, par exemple « Debian 6.1.190-1 ».

Redémarrer coupe les sites, et l'objection est légitime. La parade existe pour cela : elle bloque le chargement de esp4, esp6 et rxrpc, les trois modules par lesquels passe la faille, sans redémarrage. Son prix est précis. ESP est le protocole de chiffrement d'IPsec et rxrpc sert AFS ; si le serveur termine ou fait transiter des tunnels IPsec (strongSwan, Libreswan) ou monte de l'AFS, la parade les casse, et AlmaLinux l'écrit sans détour. Règle simple : sur un serveur web sans VPN, parade tout de suite puis noyau au prochain créneau ; sur une passerelle VPN, noyau corrigé sur un créneau de redémarrage, sans parade. Dans les deux cas, la parade n'est qu'un pont jusqu'au redémarrage sur le noyau corrigé. AlmaLinux précise aussi que la parade publiée pour Dirty Frag couvre déjà Fragnesia : si elle est en place, il n'y a rien à ajouter.

Un serveur patché depuis mai n'est pas concerné ; un serveur jamais redémarré l'est, et s'il a porté un site PHP vulnérable, il a pu être visité. L'altération se fait dans le page cache : elle n'écrit pas forcément sur disque, et un redémarrage ou drop_caches l'efface. Faites donc vos contrôles d'abord. Trois pistes. Les fichiers .php récents sous les racines web : sudo find /var/www /home -name '*.php' -mtime -7 -type f, à adapter à vos chemins. Les binaires setuid inattendus : sudo find / -xdev -perm -4000 -type f -mtime -30. L'intégrité des paquets : rpm -V util-linux sur la famille RHEL, sudo debsums -s util-linux sur Debian et Ubuntu après apt install debsums ; le paquet util-linux fournit /usr/bin/su, la cible citée par AlmaLinux. Un résultat suspect ne se nettoie pas à la main : isolez la machine et traitez-la comme compromise.

Le temps ne se perd pas dans la commande, mais à savoir quelle machine porte quels clients, laquelle est une passerelle VPN et quand elle peut redémarrer. Établissez un tableau par serveur : noyau en cours, noyau installé, rôle (web, VPN, base de données), parade posée ou non. Triez ensuite en trois lots : les serveurs web simples, parade immédiate puis noyau au créneau ; les passerelles, noyau au créneau sans parade ; les machines déjà à jour, simple contrôle du noyau en cours. Prévenez les clients une seule fois, sur un créneau commun, plutôt que machine par machine. La méthode de redémarrage d'un VPS qui porte des sites clients est détaillée dans le guide PwnEscape et Vghost lié sous cet article, inutile de la répéter ici. Ce guide est fourni tel quel : l'administration de vos serveurs reste de votre ressort, sans prise en charge de notre part.

Fiche Ubuntu de CVE-2026-46300: https://ubuntu.com/security/CVE-2026-46300

Suivi de sécurité Debian: https://security-tracker.debian.org/tracker/CVE-2026-46300

Avis AlmaLinux sur Fragnesia: https://almalinux.org/blog/2026-05-13-fragnesia-cve-2026-46300/

Article CloudLinux (noyaux et KernelCare): https://blog.cloudlinux.com/fragnesia-mitigation-and-kernel-update

Alerte CISA du 28 octobre 2026: https://www.cisa.gov/news-events/alerts/2026/10/28/cisa-adds-two-known-exploited-vulnerabilities-catalog

Compte rendu SecurityWeek sur la chaîne PHP2Shell: https://www.securityweek.com/china-linked-hackers-exploit-php2shell-to-root-firewalls/

Correctif amont dans le noyau: https://git.kernel.org/linus/f84eca5817390257cef78013d0112481c503b4a3