A CISA adicionou a CVE-2026-46300 ao catálogo Known Exploited Vulnerabilities em 28 de outubro de 2026. Conhecida como Fragnesia, a falha afeta o Linux Kernel e pode permitir que um atacante local com poucos privilégios modifique dados apoiados por page cache, sobrescreva arquivos protegidos e obtenha privilégios de root.
A vulnerabilidade tem pontuação CVSS 3.1 de 7,8, classificada como alta. O problema está relacionado ao subsistema XFRM ESP-in-TCP e ao processamento de fragmentos em buffers de socket. A entrada da CISA também informa que a falha pode ser encadeada com as vulnerabilidades críticas recentes do PHP para implantar web shells e executar comandos como root.
Por que o alerta é urgente
A entrada da CISA no KEV indica exploração conhecida em ambientes reais e estabelece 31 de outubro de 2026 como prazo de correção para as organizações sujeitas à diretiva. A CISA também marca a necessidade de triagem forense.
O perfil da falha é diferente de uma vulnerabilidade de acesso remoto sem autenticação: o atacante primeiro precisa executar código localmente com privilégios baixos. Isso pode ocorrer após o comprometimento de uma aplicação web, de uma conta, de um container ou de um serviço exposto. Uma vez no sistema, a falha pode transformar esse acesso limitado em controle administrativo.
Em ambientes que processam PHP, a CISA registra uma cadeia com as CVE-2026-109618 e CVE-2026-109619, ambas já tratadas em alertas anteriores, capaz de implantar web shells e executar comandos como root. A existência dessa cadeia torna a atualização do kernel especialmente importante para servidores web e hosts que executam aplicações PHP.
Como a falha funciona
O kernel usa estruturas de buffers de socket para transportar dados de rede. Durante a coalescência de fragmentos, a função skb_try_coalesce() pode transferir fragmentos apoiados por memória externa ou page cache sem preservar o marcador SKBFL_SHARED_FRAG.
Esse marcador é usado por caminhos posteriores para decidir se os dados podem ser modificados diretamente. Quando ele é perdido, o processamento ESP pode entender que é seguro realizar uma operação in-place e descriptografar sobre fragmentos que continuam compartilhados com o page cache.
O resultado é uma condição de escrita em dados que deveriam permanecer protegidos. Segundo a Red Hat, um atacante local de baixo privilégio pode explorar o problema para escrever bytes arbitrários no page cache de arquivos somente leitura, sobrescrever binários privilegiados e alcançar root.
Quem está afetado
O escopo depende da versão do kernel, da presença do código vulnerável e dos recursos de rede habilitados. Sistemas que utilizam o módulo ou o caminho ESP-in-TCP e permitem que usuários locais ou aplicações comprometidas gerem o tráfego necessário devem ser tratados como prioritários.
A vulnerabilidade não é apenas uma questão de servidores com IPsec configurado manualmente. O kernel pode incluir os componentes relevantes mesmo quando a equipe não reconhece imediatamente o uso do recurso. Por isso, a verificação deve ser feita pela versão efetiva do kernel e pelo estado dos pacotes do fornecedor.
Hosts de containers também merecem atenção. O Ubuntu informa que a falha pode permitir escapar de um container em determinadas condições. A atualização deve ser aplicada no host, pois atualizar somente a imagem da aplicação não corrige o kernel que controla o ambiente.
Versões corrigidas no upstream
O registro oficial da CVE identifica as seguintes linhas corrigidas no kernel upstream:
| Linha | Primeira versão corrigida |
|---|---|
| 5.10 | 5.10.257 |
| 5.15 | 5.15.208 |
| 6.1 | 6.1.174 |
| 6.6 | 6.6.141 |
| 6.12 | 6.12.91 |
| 6.18 | 6.18.33 |
| 7.0 | 7.0.10 |
| 7.1 | Não afetada na versão indicada pelo registro |
Distribuições não devem ser atualizadas apenas com base no número upstream. Os mantenedores podem aplicar backports e usar identificadores de pacote diferentes. O administrador deve instalar o kernel disponibilizado pelo fornecedor da distribuição e reinicializar o sistema para que a versão corrigida esteja realmente em execução.
Correções indicadas para Ubuntu
O boletim de segurança do Ubuntu informa que o Ubuntu 24.04 LTS está corrigido no pacote 6.8.0-124.124, o Ubuntu 22.04 LTS no 5.15.0-181.191, o Ubuntu 25.10 no 6.17.0-35.35 e o Ubuntu 26.04 no 7.0.0-22.22. Para o Ubuntu 20.04 com o kernel HWE correspondente, a correção pode estar disponível pelo Ubuntu Pro em 5.15.0-181.191~20.04.1.
Após instalar o pacote, confirme a versão ativa com uname -r e remova ou deixe de inicializar kernels antigos vulneráveis conforme a política de recuperação da organização. Em servidores críticos, mantenha uma entrada de fallback corrigida, mas evite reiniciar para uma imagem antiga sem avaliação.
Correções e orientação para Red Hat
A Red Hat classifica a falha como Important, com CVSS 7,8, porque a exploração requer acesso local. O fornecedor orienta os clientes a consultar o boletim de segurança correspondente para obter os pacotes e procedimentos específicos de cada produto.
Não é seguro inferir que todo kernel com o mesmo número upstream tenha o mesmo estado em uma distribuição corporativa. Verifique o advisory da Red Hat, o erratum instalado e o status do sistema no gerenciador de atualizações. Ambientes com suporte estendido ou kernels modificados exigem atenção adicional.
O que fazer imediatamente
Atualize o kernel e reinicie. Instale o pacote corrigido da distribuição e programe uma reinicialização controlada. A atualização do pacote sem reinicializar deixa o kernel antigo carregado na memória.
Priorize hosts de aplicações web. Servidores PHP, WordPress, painéis administrativos, gateways e hosts de containers devem ser tratados como prioridade por poderem oferecer o ponto de entrada local necessário para a exploração.
Reduza a superfície enquanto atualiza. Restrinja contas locais, desative serviços não utilizados, aplique MFA em acessos administrativos, limite o acesso SSH e revise permissões de containers. Se o uso de ESP-in-TCP não for necessário, avalie uma mitigação temporária alinhada ao procedimento do fornecedor, sem substituir o patch.
Corrija também as vulnerabilidades encadeáveis. Se o ambiente utiliza PHP, confirme que as correções das CVE-2026-109618 e CVE-2026-109619 foram instaladas. A correção de somente um componente não elimina uma cadeia de exploração composta.
Investigação forense
Como a CISA exige triagem forense para a entrada, não limite a resposta ao upgrade. Preserve logs do sistema, do servidor web, do PHP, do SSH, do container runtime e do firewall. Registre a versão do kernel que estava em execução e o intervalo em que o host permaneceu vulnerável.
Procure web shells, arquivos PHP inesperados, alterações em binários privilegiados, mudanças em unidades systemd, tarefas agendadas, chaves SSH novas e processos filhos iniciados por usuários de serviço. Verifique integridade de arquivos e compare imagens de containers e hosts com artefatos conhecidos.
Se houver sinais de exploração, isole o host, preserve uma cópia para análise e não confie apenas em uma limpeza superficial. Rotacione credenciais, segredos de banco, tokens de API, chaves SSH e certificados que pudessem ser lidos por processos comprometidos. Recrie o sistema a partir de uma fonte confiável quando a integridade do host não puder ser demonstrada.
Conclusão
A CVE-2026-46300 é uma falha local de alta gravidade no Linux Kernel, mas sua inclusão no KEV e a possibilidade de encadeamento com vulnerabilidades de aplicações web elevam o risco operacional. Um atacante que consiga executar código com poucos privilégios pode tentar alcançar root e modificar arquivos protegidos.
Atualize o kernel do host, reinicie para a versão corrigida, corrija as aplicações que podem fornecer o acesso inicial e realize a triagem forense indicada pela CISA. Em ambientes de containers, concentre a correção no kernel do host e não apenas nas imagens.
Fontes primárias
CISA: Known Exploited Vulnerabilities Catalog.
CVE.org: CVE-2026-46300.
Ubuntu: Ubuntu Security Notice — CVE-2026-46300.
Red Hat: Red Hat Security — CVE-2026-46300.
