VMware ESX e kernel Linux: CISA segnala attacchi contro CVE-2026-41709 e Fragnesia

L’agenzia statunitense CISA ha inserito il 28 ottobre 2026 due vulnerabilità nel proprio catalogo delle vulnerabilità sfruttate attivamente (Known Exploited Vulnerabilities, KEV): CVE-2026-41709 in VMware ESX e CVE-2026-46300 nel kernel Linux, nota come Fragnesia. Per entrambe sono disponibili aggiornamenti da mesi. Gli aggressori hanno impiegato entrambe le vulnerabilità con uno scopo preciso, sebbene siano valutate rispettivamente bassa e alta, e non critica: una per evitare di lasciare tracce, l’altra per ottenere privilegi di root dopo un accesso iniziale.

CVE-2026-41709: ESX non registra tutte le operazioni

Broadcom ha pubblicato la vulnerabilità il 29 luglio 2026 nell’advisory VMSA-2026-0006, insieme a diverse vulnerabilità critiche in ESX, vCenter, Workstation e Fusion. Secondo l’advisory, un amministratore con intenzioni malevole può eseguire determinate operazioni sull’host ESX senza che vengano registrate nei log. Broadcom le assegna un CVSS di 2.7, quindi basso, poiché l’aggressore necessita già di privilegi di amministratore. Non esiste una soluzione alternativa.

La valutazione bassa descrive la vulnerabilità isolatamente. In un attacco assume una funzione diversa: chi ha già il controllo dell’ambiente di virtualizzazione può eseguire comandi che mancheranno nella successiva analisi forense. CrowdStrike descrive nel Legal Threat Landscape Report 2026 che il gruppo Warp Panda, attribuito alla Cina, ha collocato malware in ambienti vCenter durante intrusioni in organizzazioni statunitensi, tra cui studi legali, e in diversi casi ha sfruttato CVE-2026-41709 come zero-day, più recentemente all’inizio del 2026. La vulnerabilità è stata quindi sfruttata diversi mesi prima della patch.

Versioni corrette secondo Broadcom:

La versione installata e la build di un host sono visualizzate dalla shell ESX:

esxcli system version get

Per la valutazione di un possibile incidente, ciò significa che sui host ESX compromessi prima dell’aggiornamento i log locali non sono completi. Il confronto con fonti esterne (eventi vCenter, log di rete e firewall, log del software di backup) è quindi più significativo del solo log dell’host.

CVE-2026-46300 (Fragnesia): root tramite la Page Cache

Fragnesia è una variante della vulnerabilità Dirty Frag e risiede nel sottosistema XFRM-ESP del kernel, più precisamente in ESP-in-TCP (IPsec su TCP). Un utente locale privo di privilegi ottiene così accesso in scrittura alla Page Cache e può modificare il contenuto memorizzato nella cache di file che può solo leggere. L’exploit pubblico modifica quindi /usr/bin/su e avvia una shell root. William Bowling di Zellic ha pubblicato la vulnerabilità il 13 maggio 2026 insieme a exploit e patch; Microsoft ha avvertito poco dopo. Red Hat la valuta con CVSS 7.8. Le patch per Dirty Frag non risolvono Fragnesia: è necessaria una correzione del kernel specifica.

Le principali distribuzioni forniscono kernel corretti tramite gli aggiornamenti normali, per esempio AlmaLinux 8 da kernel-4.18.0-553.124.2.el8_10, AlmaLinux 9 da kernel-5.14.0-611.54.4.el9_7 e Ubuntu 20.04 da 5.15.0-181.191~20.04.1. Per le altre distribuzioni si applica il rispettivo advisory; Ubuntu segnala che, in caso di backport, il solo numero di versione dice poco.

Per verificare se i moduli interessati sono caricati:

lsmod | grep -E '^(esp4|esp6|rxrpc) '

Finché non viene installato un kernel corretto, è possibile scaricare i moduli e impedirne il ricaricamento. Ciò è possibile solo se il sistema non necessita di IPsec:

rmmod esp4 esp6 rxrpc
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf

La catena di attacco tramite php2shell

Dream Research descrive come Fragnesia viene utilizzata nella pratica in un’analisi del 26 ottobre 2026. Tra l’8 e il 24 ottobre, un aggressore ha compromesso 25 server firewall negli Stati Uniti, in Giappone, Taiwan e Corea del Sud. Dream non nomina il produttore. La catena consisteva in due passaggi in una singola richiesta HTTP:

1. Accesso iniziale tramite php2shell: Le due vulnerabilità PHP CVE-2026-109618 e CVE-2026-109619 consentono l’esecuzione di codice sul server web di gestione del firewall, nel caso descritto come utente nobody.
2. Escalation dei privilegi tramite Fragnesia: SELinux impediva al processo del server web di modificare i file di sistema. L’aggressore ha quindi sovrascritto tramite la Page Cache /etc/pam.d/su con pam_permit.so e ha ottenuto privilegi root senza password con su.

Su un firewall dell’organizzazione bersaglio, l’aggressore ha poi configurato un tunnel SSH inverso permanente, compromesso il server di gestione interno, decrittato la password dell’account di servizio LDAP e attaccato Active Directory. Gli altri 22 firewall sono rimasti dotati di una webshell. Dream attribuisce la campagna a un attore con legami con la Cina e rileva indizi di sviluppo assistito dall’IA dei circa 40 script, senza prove dirette.

Un’escalation locale dei privilegi è quindi rilevante anche sulle appliance: un’applicazione web con privilegi limitati è sufficiente come punto di partenza se il kernel non è aggiornato.

php2shell e PAN-OS

PHP ha corretto le vulnerabilità php2shell il 21 ottobre 2026 (PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35); CISA elenca entrambe nel catalogo KEV dal 26 ottobre. Palo Alto Networks segnala attacchi attivi contro l’interfaccia web di gestione di PAN-OS tramite queste vulnerabilità (advisory CVE-2026-109618, CVSS 4.0 9.2). Sono interessati i firewall PA-Series e VM-Series nonché Panorama; secondo il produttore, GlobalProtect e Captive Portal non sono interessati. Sono stati pubblicati hotfix per le versioni supportate dalla 10.2 alla 12.2; per la 11.1.7-h12 l’advisory indica il 30 ottobre 2026. Il rischio è massimo quando l’interfaccia di gestione è raggiungibile da Internet; Palo Alto raccomanda di limitare l’accesso a indirizzi interni affidabili.

Cosa fare ora

1. Aggiornare gli host ESX alle versioni corrette indicate in VMSA-2026-0006. L’advisory risolve contemporaneamente le vulnerabilità critiche CVE-2026-59309, CVE-2026-59310 e CVE-2026-47876.
2. Aggiornare i sistemi Linux a un kernel con correzione per Fragnesia e riavviarli. Questo riguarda anche le appliance basate su Linux, per le quali il produttore deve fornire un aggiornamento specifico.
3. Aggiornare PHP alle versioni del 21 ottobre 2026 o a un backport della distribuzione; per PAN-OS installare gli hotfix dell’advisory.
4. Non rendere raggiungibili da Internet le interfacce di gestione di firewall, hypervisor e vCenter.
5. In caso di sospetta compromissione di host ESX, confrontare i log con fonti esterne, poiché il log dell’host potrebbe essere incompleto prima dell’aggiornamento.