VMware ESX och Linux-kärnan: CISA rapporterar attacker mot CVE-2026-41709 och Fragnesia

Den amerikanska myndigheten CISA lade den 28 oktober 2026 till två sårbarheter i sin katalog över aktivt utnyttjade sårbarheter (Known Exploited Vulnerabilities, KEV): CVE-2026-41709 i VMware ESX och CVE-2026-46300 i Linux-kärnan, känd som Fragnesia. Det har funnits uppdateringar för båda i månader. Angripare har använt båda sårbarheterna i ett tydligt syfte, trots att de endast har bedömts som låg respektive hög och inte kritisk allvarlighetsgrad: den ena för att undvika spår, den andra för att få root-rättigheter efter ett första intrång.

CVE-2026-41709: ESX loggar inte alla åtgärder

Broadcom publicerade sårbarheten den 29 juli 2026 i rådgivningen VMSA-2026-0006, tillsammans med flera kritiska sårbarheter i ESX, vCenter, Workstation och Fusion. Enligt rådgivningen kan en administratör med skadliga avsikter utföra vissa åtgärder på ESX-värden utan att dessa loggas. Broadcom bedömer detta till CVSS 2.7 som låg allvarlighetsgrad, eftersom angriparen redan behöver administratörsbehörighet. Det finns ingen workaround.

Den låga bedömningen beskriver sårbarheten isolerat. I en attack har den en annan funktion: Den som redan har kontroll över virtualiseringsmiljön kan använda den för att köra kommandon som saknas i den efterföljande forensiken. CrowdStrike beskriver i Legal Threat Landscape Report 2026 att den Kina-kopplade gruppen Warp Panda vid intrång hos amerikanska organisationer, däribland advokatbyråer, placerade skadlig kod i vCenter-miljöer och i flera fall utnyttjade CVE-2026-41709 som en zero-day, senast i början av 2026. Sårbarheten utnyttjades alltså flera månader före patchen.

Fixversioner enligt Broadcom:

Den installerade versionen och bygget för en värd visas i ESX-skalet:

esxcli system version get

För bedömningen av en möjlig incident innebär det: På ESX-värdar som komprometterades före uppdateringen är de lokala loggarna inte fullständiga. En jämförelse med externa källor (vCenter-händelser, nätverks- och brandväggsloggar, loggar från backup-programvaran) är då mer informativ än enbart värdloggen.

CVE-2026-46300 (Fragnesia): Root via Page Cache

Fragnesia är en variant av sårbarheten Dirty Frag och finns i kärnans XFRM-ESP-delsystem, närmare bestämt i ESP-in-TCP (IPsec över TCP). En lokal användare utan behörighet får därmed skrivåtkomst till Page Cache och kan ändra det cachelagrade innehållet i filer som användaren endast får läsa. Den offentliga exploiten ändrar därmed /usr/bin/su och startar ett root-skal. William Bowling från Zellic publicerade sårbarheten den 13 maj 2026 med exploit och patch; Microsoft varnade kort därefter. Red Hat bedömer den till CVSS 7.8. Patcharna för Dirty Frag åtgärdar inte Fragnesia; en separat kernel-fix krävs.

De stora distributionerna levererar korrigerade kärnor via de vanliga uppdateringarna, till exempel AlmaLinux 8 från kernel-4.18.0-553.124.2.el8_10, AlmaLinux 9 från kernel-5.14.0-611.54.4.el9_7 och Ubuntu 20.04 från 5.15.0-181.191~20.04.1. För andra distributioner gäller respektive rådgivning; Ubuntu påpekar att versionsnumret ensamt säger lite vid backportar.

Om de berörda modulerna är laddade visas med:

lsmod | grep -E '^(esp4|esp6|rxrpc) '

Tills en korrigerad kärna är installerad går det att ladda ur modulerna och förhindra att de laddas igen. Detta är endast möjligt om systemet inte behöver IPsec:

rmmod esp4 esp6 rxrpc
printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf

Attackkedjan via php2shell

Hur Fragnesia används i praktiken beskriver Dream Research i en analys från den 26 oktober 2026. En angripare tog mellan den 8 och 24 oktober över 25 brandväggsservrar i USA, Japan, Taiwan och Sydkorea. Dream nämner inte tillverkaren. Kedjan bestod av två steg i en enda HTTP-begäran:

1. Första åtkomst via php2shell: De två PHP-sårbarheterna CVE-2026-109618 och CVE-2026-109619 möjliggör kodexekvering på brandväggens webbserver för administration, i det beskrivna fallet som användaren nobody.
2. Privilege escalation via Fragnesia: SELinux hindrade webbserverprocessen från att ändra systemfiler. Angriparen skrev därför över /etc/pam.d/su via Page Cache med pam_permit.so och fick root-rättigheter utan lösenord med su.

På en brandvägg hos målorganisationen upprättade angriparen därefter en permanent SSH-reverse-tunnel, tog över den interna administrationsservern, dekrypterade lösenordet till LDAP-tjänstkontot och angrep Active Directory. De övriga 22 brandväggarna lämnades med en webbshell. Dream tillskriver kampanjen en aktör med Kina-koppling och ser indikationer på AI-stödd utveckling av de omkring 40 skripten, utan direkta bevis.

En lokal privilege escalation är därmed även relevant på appliances: En webbapplikation med begränsade rättigheter räcker som utgångspunkt om kärnan inte är patchad.

php2shell och PAN-OS

PHP stängde php2shell-sårbarheterna den 21 oktober 2026 (PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35); CISA har listat båda i KEV-katalogen sedan den 26 oktober. Palo Alto Networks rapporterar aktiva attacker mot administrationswebbgränssnittet för PAN-OS via dessa sårbarheter (rådgivning CVE-2026-109618, CVSS 4.0 9.2). PA-Series- och VM-Series-brandväggar samt Panorama är berörda; enligt tillverkaren påverkas inte GlobalProtect och Captive Portal. Hotfixar har släppts för de stödda versionerna 10.2 till 12.2; för 11.1.7-h12 anger rådgivningen den 30 oktober 2026. Risken är störst när administrationsgränssnittet är åtkomligt från internet; Palo Alto rekommenderar att begränsa åtkomsten till betrodda interna adresser.

Vad som behöver göras nu

1. Uppdatera ESX-värdar till fixversionerna i VMSA-2026-0006. Rådgivningen stänger samtidigt de kritiska sårbarheterna CVE-2026-59309, CVE-2026-59310 och CVE-2026-47876.
2. Uppdatera Linux-system till en kärna med Fragnesia-fix och starta om dem. Detta gäller även Linux-baserade appliances, där tillverkaren måste tillhandahålla en egen uppdatering.
3. Uppdatera PHP till versionerna från den 21 oktober 2026 eller en distributions-backport; installera hotfixarna från rådgivningen för PAN-OS.
4. Gör inte administrationsgränssnitt för brandväggar, hypervisorer och vCenter åtkomliga från internet.
5. Vid misstanke om kompromettering av ESX-värdar ska loggarna jämföras med externa källor, eftersom värdloggen kan vara ofullständig före uppdateringen.