VMware ESX og Linux-kjernen: CISA rapporterer angrep på CVE-2026-41709 og Fragnesia

Den amerikanske myndigheten CISA la 28. oktober 2026 til to sårbarheter i katalogen over aktivt utnyttede sårbarheter (Known Exploited Vulnerabilities, KEV): CVE-2026-41709 i VMware ESX og CVE-2026-46300 i Linux-kjernen, kjent som Fragnesia. For begge har oppdateringer vært tilgjengelige i flere måneder. Angripere har brukt begge sårbarhetene med et tydelig formål, selv om de bare er vurdert som henholdsvis lave og høye, og ikke kritiske: den ene for å unngå spor, den andre for å oppnå root-rettigheter etter første tilgang.

CVE-2026-41709: ESX logger ikke alle operasjoner

Broadcom publiserte sårbarheten 29. juli 2026 i rådgivningen VMSA-2026-0006, sammen med flere kritiske sårbarheter i ESX, vCenter, Workstation og Fusion. Ifølge rådgivningen kan en administrator med ondsinnede hensikter utføre bestemte operasjoner på ESX-verten uten at disse blir loggført. Broadcom vurderer dette til CVSS 2.7 som lavt, fordi angriperen allerede trenger administratorrettigheter. Det finnes ingen midlertidig løsning.

Den lave vurderingen beskriver sårbarheten isolert sett. I et angrep har den en annen funksjon: Den som allerede kontrollerer virtualiseringsmiljøet, kan bruke den til å utføre kommandoer som mangler i den senere forensiske undersøkelsen. CrowdStrike beskriver i Legal Threat Landscape Report 2026 at den Kina-tilknyttede gruppen Warp Panda ved innbrudd hos amerikanske organisasjoner, blant annet advokatfirmaer, plasserte skadevare i vCenter-miljøer og i flere tilfeller utnyttet CVE-2026-41709 som en zero-day, senest tidlig i 2026. Sårbarheten ble altså utnyttet flere måneder før oppdateringen.

Fiksversjoner ifølge Broadcom:

ESX-skallet viser installert versjon og build for en vert:

esxcli system version get

For vurderingen av en mulig hendelse betyr dette: På ESX-verter som var kompromittert før oppdateringen, er de lokale loggene ikke fullstendige. En sammenligning med eksterne kilder (vCenter-hendelser, nettverks- og brannmurlogger, logger fra sikkerhetskopieringsprogramvare) er da mer informativ enn vertens logg alene.

CVE-2026-46300 (Fragnesia): Root via Page Cache

Fragnesia er en variant av sårbarheten Dirty Frag og befinner seg i kjernens XFRM-ESP-subsystem, nærmere bestemt i ESP-in-TCP (IPsec over TCP). En lokal bruker uten rettigheter får dermed skrivetilgang til Page Cache og kan endre mellomlagret innhold i filer som brukeren bare har lesetilgang til. Den offentlige utnyttelsen endrer dermed /usr/bin/su og starter et root-skall. William Bowling fra Zellic publiserte sårbarheten 13. mai 2026 med utnyttelse og oppdatering; Microsoft advarte kort tid etter. Red Hat vurderer den til CVSS 7.8. Oppdateringene for Dirty Frag retter ikke Fragnesia, det kreves en egen kjernefiks.

De store distribusjonene leverer korrigerte kjerner gjennom vanlige oppdateringer, for eksempel AlmaLinux 8 fra kernel-4.18.0-553.124.2.el8_10, AlmaLinux 9 fra kernel-5.14.0-611.54.4.el9_7 og Ubuntu 20.04 fra 5.15.0-181.191~20.04.1. For andre distribusjoner gjelder den respektive rådgivningen; Ubuntu påpeker at versjonsnummeret alene sier lite ved backporter.

Følgende viser om de berørte modulene er lastet:

lsmod | grep -E '^(esp4|esp6|rxrpc) '

Frem til en korrigert kjerne er installert, kan modulene lastes ut og hindres fra å lastes inn igjen. Dette er bare mulig dersom systemet ikke trenger IPsec:

rmmod esp4 esp6 rxrpc
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf

Angrepskjeden via php2shell

Dream Research beskriver hvordan Fragnesia brukes i praksis, i en analyse fra 26. oktober 2026. En angriper overtok mellom 8. og 24. oktober 25 brannmurservere i USA, Japan, Taiwan og Sør-Korea. Dream oppgir ikke produsenten. Kjeden besto av to trinn i én enkelt HTTP-forespørsel:

1. Første tilgang via php2shell: De to PHP-sårbarhetene CVE-2026-109618 og CVE-2026-109619 tillater kjøring av kode på brannmurens administrasjonswebserver, i det beskrevne tilfellet som brukeren nobody.
2. Rettighetseskalering via Fragnesia: SELinux forhindret at webserverprosessen endret systemfiler. Angriperen overskrev derfor /etc/pam.d/su via Page Cache med pam_permit.so og fikk root-rettigheter med su uten passord.

På en brannmur hos målorganisasjonen opprettet angriperen deretter en permanent revers SSH-tunnel, overtok den interne administrasjonsserveren, dekrypterte passordet til LDAP-tjenestekontoen og angrep Active Directory. De øvrige 22 brannmurene ble stående med et webskall. Dream knytter kampanjen til en Kina-tilknyttet aktør og ser tegn på KI-støttet utvikling av de rundt 40 skriptene, uten direkte bevis.

En lokal rettighetseskalering er derfor også relevant på appliances: En webapplikasjon med begrensede rettigheter er tilstrekkelig som utgangspunkt dersom kjernen ikke er oppdatert.

php2shell og PAN-OS

PHP lukket php2shell-sårbarhetene 21. oktober 2026 (PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35); CISA har ført begge i KEV-katalogen siden 26. oktober. Palo Alto Networks rapporterer aktive angrep mot administrasjonswebgrensesnittet i PAN-OS via disse sårbarhetene (rådgivning CVE-2026-109618, CVSS 4.0 9.2). PA-Series- og VM-Series-brannmurer samt Panorama er berørt; GlobalProtect og Captive Portal er ifølge produsenten ikke berørt. Hurtigreparasjoner er utgitt for de støttede versjonene 10.2 til 12.2; for 11.1.7-h12 oppgir rådgivningen 30. oktober 2026. Risikoen er størst når administrasjonsgrensesnittet er tilgjengelig fra internett; Palo Alto anbefaler å begrense tilgangen til pålitelige interne adresser.

Hva som må gjøres nå

1. Oppdater ESX-verter til fiksversjonene fra VMSA-2026-0006. Rådgivningen lukker samtidig de kritiske sårbarhetene CVE-2026-59309, CVE-2026-59310 og CVE-2026-47876.
2. Oppdater Linux-systemer til en kjerne med Fragnesia-fiks og start dem på nytt. Dette gjelder også Linux-baserte appliances, som produsenten må levere en egen oppdatering for.
3. Oppdater PHP til versjonene fra 21. oktober 2026 eller en distribusjons-backport; installer hurtigreparasjonene fra rådgivningen for PAN-OS.
4. Ikke gjør administrasjonsgrensesnitt for brannmurer, hypervisorer og vCenter tilgjengelige fra internett.
5. Ved mistanke om kompromittering av ESX-verter, sammenlign loggene med eksterne kilder, fordi vertens logg kan være ufullstendig før oppdateringen.