Fragnesia gehört zur Schwachstellenklasse „Dirty Frag". Ein Proof-of-Concept-Exploit ist verfügbar, mit dem lokale Angreifer auf den großen Linux-Distributionen Root-Rechte erlangen können, sofern deren Kernel vor dem 13. Mai 2026 veröffentlicht wurde.
CISA nahm CVE-2026-46300 am Mittwoch in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) auf und verpflichtete die Bundesbehörden gemäß der Binding Operational Directive (BOD) 26-04, ihre Systeme bis Samstag, den 10., abzusichern.
Details zu den laufenden Fragnesia-Angriffen nannte die Behörde nicht. Sie wies jedoch darauf hin, dass Angreifer die Lücke mit zwei als kritisch eingestuften PHP-Schwachstellen kombinieren können, die unter CVE-2026-109618 und CVE-2026-109619 geführt und gemeinsam als PHP2Shell bezeichnet werden, um auf ungepatchten Systemen Webshells abzulegen. „Diese Schwachstelle kann mit CVE-2026-109618 und CVE-2026-109619 verkettet werden, um PHP-Webshells einzuschleusen und Befehle als Root auszuführen", erklärte CISA.
Analysten von Dream Security beschrieben in einem am Montag veröffentlichten Bericht, dass über die Schwachstellen mehr als zwei Dutzend Server kompromittiert wurden, darunter drei Systeme einer mit der US-Regierung verbundenen Organisation. „Die Forscher von Dream haben eine vollständige Angriffsoperation identifiziert, die eine maßgeschneiderte Waffenfähigmachung der PHP2Shell-Exploit-Kette (CVE-2026-109618/CVE-2026-109619) in Kombination mit der Fragnesia-Kernel-Rechteausweitung (CVE-2026-46300), Ziellisten, Exploitation-Logs und rund 40 eigene Post-Exploitation-Skripte umfasste", heißt es dort. Zu den Artefakten gehörte demnach eine Kampagne, bei der 25 Server in den Vereinigten Staaten, Japan, Taiwan und Südkorea mit Root-Rechten übernommen wurden; anschließend konzentrierte sich der Angreifer auf drei bestimmte Server in einer mit der US-Regierung verbundenen Umgebung.
Die beiden PHP2Shell-Lücken hatte CISA bereits am Montag in die Liste aktiv ausgenutzter Schwachstellen aufgenommen und den zivilen Bundesbehörden (Federal Civilian Executive Branch, FCEB) eine Frist bis Donnerstag gesetzt. Weitere Angaben zu den laufenden PHP2Shell-Angriffen machte die Behörde bisher nicht. Der Sicherheitsingenieur Adel Karimi von Perplexity bestätigte am Wochenende eine Ausnutzung in freier Wildbahn, nachdem seine Honeypots Hinweise auf Remote-Code-Ausführung gegen eine Apache-Installation mit mod_php und PHP 8.4.26 aufgezeichnet hatten.
Eine Sprecherin beziehungsweise ein Sprecher von CISA konnte zunächst keine weiteren Informationen zu Akteuren nennen, die Fragnesia und PHP2Shell in Angriffen verketten.