VMware ESX y kernel de Linux: CISA informa de ataques contra CVE-2026-41709 y Fragnesia

La agencia estadounidense CISA añadió el 28 de octubre de 2026 dos vulnerabilidades a su catálogo de vulnerabilidades explotadas activamente (Known Exploited Vulnerabilities, KEV): CVE-2026-41709 en VMware ESX y CVE-2026-46300 en el kernel de Linux, conocida como Fragnesia. Existen actualizaciones para ambas desde hace meses. Los atacantes han utilizado ambas vulnerabilidades con un objetivo claro, aunque solo están clasificadas como baja y alta, respectivamente, y no como críticas: una para evitar dejar rastros y la otra para obtener privilegios de root tras un acceso inicial.

CVE-2026-41709: ESX no registra todas las operaciones

Broadcom publicó la vulnerabilidad el 29 de julio de 2026 en el aviso VMSA-2026-0006, junto con varias vulnerabilidades críticas en ESX, vCenter, Workstation y Fusion. Según el aviso, un administrador con intenciones maliciosas puede ejecutar determinadas operaciones en el host ESX sin que queden registradas. Broadcom la califica con CVSS 2.7 como baja, ya que el atacante necesita previamente privilegios de administrador. No existe ninguna solución alternativa.

La calificación baja describe la vulnerabilidad de forma aislada. En un ataque cumple una función diferente: quien ya controla el entorno de virtualización puede ejecutar comandos que no aparecerán en el posterior análisis forense. CrowdStrike describe en el Legal Threat Landscape Report 2026 que el grupo Warp Panda, atribuido a China, implantó malware en entornos vCenter durante intrusiones en organizaciones estadounidenses, incluidos bufetes de abogados, y explotó CVE-2026-41709 como zero-day en varios casos, más recientemente a principios de 2026. Por tanto, la vulnerabilidad se explotó durante varios meses antes del parche.

Versiones corregidas según Broadcom:

La shell de ESX muestra la versión instalada y la compilación de un host:

esxcli system version get

Para evaluar un posible incidente, esto significa que los registros locales de los hosts ESX comprometidos antes de la actualización no están completos. En ese caso, cotejarlos con fuentes externas (eventos de vCenter, registros de red y firewall, registros del software de copia de seguridad) es más significativo que el registro del host por sí solo.

CVE-2026-46300 (Fragnesia): root mediante la caché de páginas

Fragnesia es una variante de la vulnerabilidad Dirty Frag y se encuentra en el subsistema XFRM-ESP del kernel, concretamente en ESP-in-TCP (IPsec sobre TCP). Permite a un usuario local sin privilegios obtener acceso de escritura a la caché de páginas y modificar el contenido almacenado en caché de archivos que solo puede leer. El exploit público modifica así /usr/bin/su e inicia una shell de root. William Bowling, de Zellic, publicó la vulnerabilidad el 13 de mayo de 2026 junto con el exploit y el parche; Microsoft advirtió de ella poco después. Red Hat la califica con CVSS 7.8. Los parches para Dirty Frag no corrigen Fragnesia; se requiere una corrección específica del kernel.

Las principales distribuciones suministran kernels corregidos mediante las actualizaciones habituales, por ejemplo AlmaLinux 8 a partir de kernel-4.18.0-553.124.2.el8_10, AlmaLinux 9 a partir de kernel-5.14.0-611.54.4.el9_7 y Ubuntu 20.04 a partir de 5.15.0-181.191~20.04.1. Para otras distribuciones se aplica el aviso correspondiente; Ubuntu señala que, en el caso de backports, el número de versión por sí solo dice poco.

Para comprobar si los módulos afectados están cargados:

lsmod | grep -E '^(esp4|esp6|rxrpc) '

Hasta que se instale un kernel corregido, es posible descargar los módulos e impedir que se vuelvan a cargar. Esto solo es posible si el sistema no necesita IPsec:

rmmod esp4 esp6 rxrpc
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf

La cadena de ataque mediante php2shell

Dream Research describe cómo se utiliza Fragnesia en la práctica en un análisis del 26 de octubre de 2026. Un atacante comprometió 25 servidores firewall en Estados Unidos, Japón, Taiwán y Corea del Sur entre el 8 y el 24 de octubre. Dream no identifica al fabricante. La cadena constaba de dos pasos en una única solicitud HTTP:

1. Acceso inicial mediante php2shell: Las dos vulnerabilidades de PHP CVE-2026-109618 y CVE-2026-109619 permiten ejecutar código en el servidor web de gestión del firewall, en el caso descrito como el usuario nobody.
2. Escalada de privilegios mediante Fragnesia: SELinux impedía que el proceso del servidor web modificara archivos del sistema. Por ello, el atacante sobrescribió /etc/pam.d/su mediante la caché de páginas con pam_permit.so y obtuvo privilegios de root sin contraseña con su.

En un firewall de la organización objetivo, el atacante estableció después un túnel SSH inverso persistente, comprometió el servidor de gestión interno, descifró la contraseña de la cuenta de servicio LDAP y atacó Active Directory. Los otros 22 firewalls quedaron equipados con una webshell. Dream atribuye la campaña a un actor vinculado a China y observa indicios de desarrollo asistido por IA en los cerca de 40 scripts, aunque sin pruebas directas.

Por tanto, una escalada local de privilegios también es relevante en appliances: una aplicación web con privilegios restringidos basta como punto de partida si el kernel no está parcheado.

php2shell y PAN-OS

PHP corrigió las vulnerabilidades php2shell el 21 de octubre de 2026 (PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35); CISA incluye ambas en el catálogo KEV desde el 26 de octubre. Palo Alto Networks informa de ataques activos contra la interfaz web de gestión de PAN-OS a través de estas vulnerabilidades (aviso CVE-2026-109618, CVSS 4.0 9.2). Se ven afectados los firewalls PA-Series y VM-Series, así como Panorama; según el fabricante, GlobalProtect y Captive Portal no están afectados. Se han publicado hotfixes para las versiones compatibles de la 10.2 a la 12.2; para 11.1.7-h12, el aviso indica el 30 de octubre de 2026. El riesgo es mayor cuando la interfaz de gestión es accesible desde Internet; Palo Alto recomienda restringir el acceso a direcciones internas de confianza.

Qué hacer ahora

1. Actualizar los hosts ESX a las versiones corregidas de VMSA-2026-0006. El aviso también corrige las vulnerabilidades críticas CVE-2026-59309, CVE-2026-59310 y CVE-2026-47876.
2. Actualizar los sistemas Linux a un kernel con la corrección de Fragnesia y reiniciarlos. Esto también afecta a appliances basados en Linux, para los que el fabricante debe proporcionar una actualización propia.
3. Actualizar PHP a las versiones del 21 de octubre de 2026 o a un backport de la distribución; en PAN-OS, instalar los hotfixes del aviso.
4. Evitar que las interfaces de gestión de firewalls, hipervisores y vCenter sean accesibles desde Internet.
5. Si se sospecha que hosts ESX han sido comprometidos, cotejar los registros con fuentes externas, ya que el registro del host puede estar incompleto antes de la actualización.