[{"data":1,"prerenderedAt":238},["ShallowReactive",2],{"seo-verification":3,"blog-fragnesia-cve-2026-46300-kernel-linux-php2shell-es":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-fragnesia-cve-2026-46300-kernel-linux-php2shell-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":165,"ctaBody":166,"ctaButton":167,"ctaUrl":168,"relatedPosts":169},524,"fragnesia-cve-2026-46300-kernel-linux-php2shell",{"fr":12,"en":13,"ar":14,"es":10},"fragnesia-cve-2026-46300-noyau-linux-php2shell","fragnesia-cve-2026-46300-linux-kernel-php2shell","ثغرة-fragnesia-cve-2026-46300-نواة-لينكس-php2shell","Fragnesia CVE-2026-46300: parchear el kernel (PHP2Shell)","Fragnesia (CVE-2026-46300), encadenada con PHP2Shell, lleva a root. Kernels corregidos por distribución, mitigación esp4\u002Fesp6\u002Frxrpc, verificación y rastros.",10,0,false,"2026-10-29T00:00:00+00:00","2026-10-29T15:45:55+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Seguridad y monitorización","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Ffragnesia-cve-2026-46300-noyau-linux-php2shell-poster.svg","El 28 de octubre de 2026, la CISA añadió CVE-2026-46300, apodada Fragnesia, a su catálogo de vulnerabilidades explotadas. El fallo del kernel de Linux es de mayo y su corrección también, pero vuelve a ser urgente: encadenado con PHP2Shell, convierte un sitio PHP comprometido en un servidor totalmente comprometido y, por tanto, en todos los sitios de clientes que aloja. Esta guía permite saber en diez minutos qué servidores siguen con un kernel vulnerable, cómo actualizar por distribución, qué mitigación usar si el reinicio debe esperar y qué rastros buscar.",[35,39,48,51,91,94,116,134,137,152,156,159,162],{"type":36,"title":37,"body":38},"h2","Fragnesia en breve: un fallo de mayo que vuelve a ser urgente","Fragnesia es el nombre dado a CVE-2026-46300, un fallo del kernel de Linux divulgado el 13 de mayo de 2026 con una prueba de concepto pública. El defecto cabe en una frase: la función `skb_try_coalesce()` pierde el marcador que señala un fragmento compartido, de modo que el descifrado ESP se ejecuta en el sitio sobre páginas de la page cache. Un proceso sin privilegios puede entonces modificar en memoria un archivo que debería ser de solo lectura, como `\u002Fusr\u002Fbin\u002Fsu`, y obtener root. La puntuación CVSS 3 es 7.8 y Ubuntu clasifica el fallo con prioridad High. Las correcciones existen desde mayo: AlmaLinux las puso en producción el 16 de mayo de 2026. Lo que cambia a finales de octubre de 2026 es el contexto, porque la CISA incluyó el fallo en su catálogo de vulnerabilidades explotadas el 28 de octubre de 2026.",{"type":40,"title":41,"items":42},"ul","Lo esencial antes de abrir una terminal",[43,44,45,46,47],"**Local, no remoto** — Fragnesia no se ataca desde internet: el atacante ya debe ejecutar código en la máquina. Es el paso que sigue a una intrusión web.","**Kernel activo, no kernel instalado** — un paquete al día no protege nada mientras la máquina no haya reiniciado con él.","**Existen kernels corregidos** — Ubuntu, Debian, AlmaLinux y CloudLinux han publicado sus versiones; la tabla de abajo las enumera.","**Existe una mitigación, con un precio** — bloquear tres módulos (esp4, esp6, rxrpc) cierra la vía, pero corta IPsec y AFS.","**Un puente, no una solución** — la mitigación aguanta hasta el reinicio con el kernel corregido, no más allá.",{"type":36,"title":49,"body":50},"Por qué PHP2Shell cambia el calendario","Una escalada de privilegios local no se dispara sola: primero necesita un punto de entrada. En un servidor de agencia, lo tiene a mano: un sitio PHP. PHP2Shell designa dos fallos del intérprete, CVE-2026-109618 y CVE-2026-109619, que permiten ejecutar código sin autenticación. El webshell corre entonces bajo la cuenta del sitio, sin privilegios. Fragnesia es el siguiente paso: convierte esa cuenta en root. La empresa Dream afirma haber observado esta combinación en una campaña dirigida a cortafuegos; es el relato de un solo proveedor, que la CISA no confirma. Por parte de la CISA, CVE-2026-46300 figura en el catálogo con fecha límite el 31 de octubre de 2026 y un triaje forense pedido a las agencias estadounidenses. Lo principal que debe recordar: corregir PHP cierra la entrada, no la escalada. Un servidor visitado antes de la corrección de PHP sigue siendo peligroso mientras su kernel no esté al día. La guía de PHP2Shell enlazada bajo este artículo detalla la primera parte.",{"type":52,"title":53,"headers":54,"rows":58},"comparison","Kernels corregidos por distribución",[55,56,57],"Distribución","Kernel corregido (o más reciente)","Conviene saber",[59,63,67,71,75,79,83,87],[60,61,62],"Ubuntu 22.04 LTS","5.15.0-181.191","`uname -r` muestra 5.15.0-181-generic",[64,65,66],"Ubuntu 24.04 LTS","6.8.0-124.124","`uname -r` muestra 6.8.0-124-generic",[68,69,70],"Ubuntu 25.10 y 26.04 LTS","6.17.0-35.35 y 7.0.0-22.22","Una versión por release; la 26.10 no está afectada",[72,73,74],"Debian 12 (bookworm)","6.1.190-1","Repositorio security; `uname -v` muestra la versión del paquete",[76,77,78],"Debian 13 (trixie)","6.12.113-1","Repositorio security; misma lectura con `uname -v`",[80,81,82],"AlmaLinux 8, 9 y 10","4.18.0-553.124.3.el8_10 ; 5.14.0-611.54.5.el9_7 ; 6.12.0-124.56.3.el10_1","En producción desde el 16 de mayo de 2026",[84,85,86],"CloudLinux 7h y 8","4.18.0-553.124.3.lve.el7h ; 4.18.0-553.124.3.lve.el8","CloudLinux 9 y 10 reutilizan los kernels de AlmaLinux; comprobar el canal de distribución",[88,89,90],"No afectadas","Ubuntu 20.04 LTS y anteriores, CloudLinux 7","Nada que corregir en estas versiones",{"type":36,"title":92,"body":93},"Kernel instalado no es kernel activo","Es la trampa que convierte un «todo está al día» en un servidor aún vulnerable. Instalar un paquete de kernel deja archivos nuevos en `\u002Fboot`, pero el kernel en memoria sigue siendo el del último arranque. Mientras la máquina no reinicie, `apt` o `dnf` pueden mostrar un sistema al día mientras `uname -r` responde todavía con el número antiguo. Es frecuente en un parque de servidores, por una razón simple: a nadie le gusta reiniciar un servidor que aloja sitios de clientes, así que el reinicio espera. Dos referencias evitan la confusión. En Ubuntu, el número de la tabla se escribe en dos partes: 5.15.0-181.191 corresponde a `5.15.0-181-generic` en `uname -r`. En Debian, `uname -r` muestra la ABI del kernel, no la versión del paquete; `uname -v` muestra la versión completa, por ejemplo «Debian 6.1.190-1».",{"type":95,"title":96,"steps":97},"steps","Comprobar la exposición de un servidor en diez minutos",[98,101,104,107,110,113],{"title":99,"body":100},"Leer el kernel activo","`uname -r` y después `uname -v`. Anote el resultado máquina por máquina: es el único valor que cuenta, no el del gestor de paquetes. Compárelo con la tabla de arriba.",{"title":102,"body":103},"Listar los kernels instalados","Debian y Ubuntu: `dpkg -l 'linux-image*'`. AlmaLinux y CloudLinux: `rpm -q kernel`. Si hay un kernel corregido instalado pero `uname -r` muestra otro número, el servidor no ha reiniciado: está expuesto.",{"title":105,"body":106},"Detectar reinicios pendientes","En AlmaLinux y CloudLinux, `sudo needs-restarting -r` indica si hace falta reiniciar. En Ubuntu, la presencia del archivo `\u002Fvar\u002Frun\u002Freboot-required` señala lo mismo.",{"title":108,"body":109},"Mirar los módulos implicados","`lsmod | grep -E 'esp4|esp6|rxrpc'`. Un resultado vacío no vuelve seguro el servidor: un módulo ausente puede cargarse bajo demanda. Solo dice que no está cargado en ese instante.",{"title":111,"body":112},"Comprobar rxrpc en AlmaLinux 9 y 10","`rpm -q kernel-modules-partner`. En estas dos versiones, el módulo rxrpc solo está expuesto si este paquete está instalado; AlmaLinux 8 no compila este módulo.",{"title":114,"body":115},"Localizar las pasarelas VPN","`systemctl list-units | grep -Ei 'strongswan|libreswan|ipsec'`. Haga la lista de máquinas que terminan o hacen transitar túneles IPsec, o que usan AFS: la mitigación de más abajo está contraindicada para ellas.",{"type":95,"title":117,"steps":118},"Actualizar el kernel, por entorno",[119,122,125,128,131],{"title":120,"body":121},"Debian y Ubuntu","`sudo apt update && sudo apt full-upgrade` y después `sudo reboot`. Se usa `full-upgrade` porque un kernel nuevo llega como un paquete nuevo, que `upgrade` a secas puede dejar de lado.",{"title":123,"body":124},"AlmaLinux y otros RHEL","`sudo dnf clean metadata && sudo dnf upgrade` y después `sudo reboot`. Tras el reinicio, `rpm -q kernel` debe listar un kernel al menos igual al de la tabla.",{"title":126,"body":127},"CloudLinux","En CloudLinux 9 y 10 se aplican los kernels de AlmaLinux: el mismo comando de arriba. En CloudLinux 7h y 8, el kernel corregido es un kernel de CloudLinux distribuido por canal; el artículo de CloudLinux, enlazado al final de la página, dice si su canal ya lo ofrece. Después `sudo yum update 'kernel*'` y `sudo reboot`.",{"title":129,"body":130},"Contenedores Docker","Un contenedor no tiene kernel propio: usa el del host. Reconstruir una imagen no corrige nada aquí, mientras que actualizar el host y reiniciarlo protege todos sus contenedores de una vez. Ubuntu menciona además una posible fuga de contenedor: no lo deje para después. Las imágenes PHP que hay que reconstruir por PHP2Shell son tema de otra guía.",{"title":132,"body":133},"Comprobar tras el reinicio","`uname -r` (y `uname -v` en Debian) debe mostrar un número igual o superior al de la tabla. Después ejecute `sudo systemctl --failed` para detectar los servicios que no han vuelto.",{"type":36,"title":135,"body":136},"Mitigación o kernel: la decisión depende del rol del servidor","Reiniciar corta los sitios, y la objeción es legítima. La mitigación existe para eso: bloquea la carga de esp4, esp6 y rxrpc, los tres módulos por los que pasa el fallo, sin reiniciar. Su precio es concreto. ESP es el protocolo de cifrado de IPsec y rxrpc sirve a AFS; si el servidor termina o hace transitar túneles IPsec (strongSwan, Libreswan) o monta AFS, la mitigación los rompe, y AlmaLinux lo dice sin rodeos. Regla simple: en un servidor web sin VPN, mitigación ya y kernel en la próxima ventana; en una pasarela VPN, kernel corregido en una ventana de reinicio, sin mitigación. En ambos casos, la mitigación es solo un puente hasta el reinicio con el kernel corregido. AlmaLinux precisa también que la mitigación publicada para Dirty Frag ya cubre Fragnesia: si está aplicada, no hay nada que añadir.",{"type":95,"title":138,"steps":139},"Aplicar la mitigación, comprobarla, deshacerla",[140,143,146,149],{"title":141,"body":142},"Escribir el archivo y descargar los módulos","`sudo sh -c \"printf 'install esp4 \u002Fbin\u002Ffalse\\ninstall esp6 \u002Fbin\u002Ffalse\\ninstall rxrpc \u002Fbin\u002Ffalse\\n' > \u002Fetc\u002Fmodprobe.d\u002Ffragnesia.conf; rmmod esp4 esp6 rxrpc 2>\u002Fdev\u002Fnull; true\"`\nEl comando crea `\u002Fetc\u002Fmodprobe.d\u002Ffragnesia.conf`, que prohíbe la carga de los tres módulos, y después descarga los que estaban cargados.",{"title":144,"body":145},"Comprobar","`lsmod | grep -E 'esp4|esp6|rxrpc'` no debe devolver nada. La mitigación sobrevive al reinicio mientras el archivo exista.",{"title":147,"body":148},"Vaciar la page cache si la máquina pudo ser atacada","`sudo sh -c \"echo 3 > \u002Fproc\u002Fsys\u002Fvm\u002Fdrop_caches\"`. Los binarios se recargan desde el disco. Si quiere conservar pruebas, haga primero las comprobaciones de la sección siguiente.",{"title":150,"body":151},"Deshacer la mitigación","Una vez reiniciada la máquina con el kernel corregido: `sudo rm \u002Fetc\u002Fmodprobe.d\u002Ffragnesia.conf`. Si ya había una mitigación de Dirty Frag con otro nombre de archivo, sigue su propio ciclo.",{"type":153,"title":154,"body":155},"tip","KernelCare, para los servidores que no se pueden reiniciar","Si el servidor usa KernelCare (parcheo del kernel en caliente), `kcarectl --update` aplica la corrección sin reiniciar, y `kcarectl --patch-info | grep CVE-2026-46300` confirma que está presente. CloudLinux indica un despliegue completo para las variantes AlmaLinux ELS y FIPS, la familia EL8, Debian 11 y 12 y Ubuntu Jammy, sin citar explícitamente CloudLinux 9 y 10 estándar. No generalice: compruebe por distribución y, si el comando no devuelve nada, recurra a la mitigación o al kernel.",{"type":36,"title":157,"body":158},"Buscar rastros antes de reiniciar","Un servidor parcheado desde mayo no está afectado; uno que nunca ha reiniciado sí lo está, y si alojó un sitio PHP vulnerable, pudo ser visitado. La alteración se produce en la page cache: no se escribe necesariamente en disco, y un reinicio o `drop_caches` la borra. Haga, pues, sus comprobaciones primero. Tres pistas. Los archivos `.php` recientes bajo las raíces web: `sudo find \u002Fvar\u002Fwww \u002Fhome -name '*.php' -mtime -7 -type f`, a adaptar a sus rutas. Los binarios setuid inesperados: `sudo find \u002F -xdev -perm -4000 -type f -mtime -30`. La integridad de los paquetes: `rpm -V util-linux` en la familia RHEL, `sudo debsums -s util-linux` en Debian y Ubuntu tras `apt install debsums`; el paquete util-linux aporta `\u002Fusr\u002Fbin\u002Fsu`, el objetivo citado por AlmaLinux. Un resultado sospechoso no se limpia a mano: aísle la máquina y trátela como comprometida.",{"type":36,"title":160,"body":161},"Para una agencia: una ventana común, no un servidor cada vez","El tiempo no se pierde en el comando, sino en saber qué máquina aloja a qué clientes, cuál es una pasarela VPN y cuándo puede reiniciar. Elabore una tabla por servidor: kernel activo, kernel instalado, rol (web, VPN, base de datos), mitigación aplicada o no. Clasifique después en tres lotes: servidores web simples, mitigación inmediata y kernel en la ventana; pasarelas, kernel en la ventana sin mitigación; máquinas ya al día, simple comprobación del kernel activo. Avise a los clientes una sola vez, en una ventana común, en lugar de máquina por máquina. El método de reinicio de un VPS que aloja sitios de clientes está detallado en la guía de PwnEscape y Vghost enlazada bajo este artículo, no hace falta repetirlo aquí. Esta guía se entrega tal cual: la administración de sus servidores sigue siendo responsabilidad suya, sin soporte por nuestra parte.",{"type":36,"title":163,"body":164},"La documentación oficial","Ficha de Ubuntu de CVE-2026-46300: https:\u002F\u002Fubuntu.com\u002Fsecurity\u002FCVE-2026-46300\n\nSeguimiento de seguridad de Debian: https:\u002F\u002Fsecurity-tracker.debian.org\u002Ftracker\u002FCVE-2026-46300\n\nAviso de AlmaLinux sobre Fragnesia: https:\u002F\u002Falmalinux.org\u002Fblog\u002F2026-05-13-fragnesia-cve-2026-46300\u002F\n\nArtículo de CloudLinux (kernels y KernelCare): https:\u002F\u002Fblog.cloudlinux.com\u002Ffragnesia-mitigation-and-kernel-update\n\nAlerta de la CISA del 28 de octubre de 2026: https:\u002F\u002Fwww.cisa.gov\u002Fnews-events\u002Falerts\u002F2026\u002F10\u002F28\u002Fcisa-adds-two-known-exploited-vulnerabilities-catalog\n\nCrónica de SecurityWeek sobre la cadena PHP2Shell: https:\u002F\u002Fwww.securityweek.com\u002Fchina-linked-hackers-exploit-php2shell-to-root-firewalls\u002F\n\nCorrección upstream en el kernel: https:\u002F\u002Fgit.kernel.org\u002Flinus\u002Ff84eca5817390257cef78013d0112481c503b4a3","Un parque de sitios que parchear en una sola ventana","Un parque de sitios de clientes se parchea mejor cuando las máquinas están agrupadas y visibles en un solo lugar: una ventana común, una tabla única. La relación con el cliente se queda en la agencia, la infraestructura en ServOrbit.com.","Descubrir la oferta para agencias","\u002Fsolutions\u002Fagences",[170,186,203,222],{"id":171,"slug":172,"slugs":173,"title":177,"excerpt":178,"readTime":179,"views":18,"isPinned":19,"publishedAt":180,"updatedAt":181,"category":182,"categories":183,"featuredImage":30,"bgImage":31,"posterImage":185,"relatedSolution":30},517,"pwnescape-vghost-kernel-linux-vps-actualizar",{"fr":174,"en":175,"ar":176,"es":172},"pwnescape-vghost-noyau-linux-vps-mettre-a-jour","pwnescape-vghost-linux-kernel-vps-update","ثغرتا-pwnescape-و-vghost-تحديث-نواة-لينكس-على-vps","PwnEscape y Vghost: actualizar el kernel Linux de un VPS","Dos fallos del kernel Linux de octubre de 2026: PwnEscape lo corrige el proveedor, Vghost su VPS. Comprobar el kernel, actualizar y planificar el reinicio.",11,"2026-10-28T00:00:00+00:00","2026-10-29T03:10:22+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[184],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fpwnescape-vghost-noyau-linux-vps-mettre-a-jour-poster.svg",{"id":187,"slug":188,"slugs":189,"title":193,"excerpt":194,"readTime":195,"views":196,"isPinned":19,"publishedAt":197,"updatedAt":198,"category":199,"categories":200,"featuredImage":30,"bgImage":31,"posterImage":202,"relatedSolution":30},489,"php2shell-cve-2026-109618-109619-actualizar-php",{"fr":190,"en":191,"ar":192,"es":188},"php2shell-cve-2026-109618-109619-mettre-a-jour-php","php2shell-cve-2026-109618-109619-patch-php","php2shell-cve-2026-109618-109619-تحديث-php","PHP2Shell: cómo corregir CVE-2026-109618 y CVE-2026-109619","PHP2Shell: dos fallos críticos de PHP explotables sin cuenta. Versiones corregidas, comandos de actualización por sistema y medidas temporales.",16,1,"2026-10-22T00:00:00+00:00","2026-10-27T23:58:43+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[201],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fphp2shell-cve-2026-109618-109619-mettre-a-jour-php-poster.svg",{"id":204,"slug":205,"slugs":206,"title":210,"excerpt":211,"readTime":212,"views":18,"isPinned":19,"publishedAt":213,"updatedAt":214,"category":215,"categories":216,"featuredImage":30,"bgImage":31,"posterImage":218,"relatedSolution":219},501,"php2shell-docker-reconstruir-imagenes-php-wordpress",{"fr":207,"en":208,"ar":209,"es":205},"php2shell-docker-wordpress-reconstruire-images-php","php2shell-docker-rebuild-php-wordpress-images","php2shell-docker-إعادة-بناء-صور-php-ووردبريس","PHP2Shell y Docker: reconstruya sus imágenes de PHP y WordPress","Actualizar WordPress o Laravel no cambia el PHP de la imagen Docker. Demuestre la versión servida, vea qué etiquetas se movieron y reconstruya sin trampas.",12,"2026-10-23T00:00:00+00:00","2026-10-23T23:43:01+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[217],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fphp2shell-docker-wordpress-reconstruire-images-php-poster.svg",{"categorySlug":220,"appSlug":221},"cms-sitios-web","wordpress",{"id":223,"slug":224,"slugs":225,"title":229,"excerpt":230,"readTime":17,"views":231,"isPinned":19,"publishedAt":232,"updatedAt":233,"category":234,"categories":235,"featuredImage":30,"bgImage":31,"posterImage":237,"relatedSolution":30},382,"actualizaciones-seguridad-vps-debian-ubuntu",{"fr":226,"en":227,"ar":228,"es":224},"securite-vps-mises-a-jour-automatiques-debian-ubuntu","vps-automatic-security-updates-debian-ubuntu","تحديثات-أمان-تلقائية-vps-debian-ubuntu","Actualizaciones de seguridad automáticas en VPS Debian\u002FUbuntu","Configure unattended-upgrades en sus VPS Debian\u002FUbuntu para automatizar los parches de seguridad y reducir la superficie de ataque en su flota de clientes.",2,"2026-09-26T00:00:00+00:00","2026-09-29T14:40:42+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[236],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fsecurite-vps-mises-a-jour-automatiques-debian-ubuntu-poster.svg",1793289350137]