fragnesia-scanner

Triaje local para Fragnesia, la escalada de privilegios del kernel de Linux CVE-2026-46300. Se le da una versión de kernel que usted posee, le indica si esa compilación sigue abierta y detecta las trampas que hacen que una comprobación de versión mienta. Nunca toca la red, nunca carga un exploit, nunca desencadena el fallo.

El fallo

Detalle	Valor
CVE	CVE-2026-46300, apodado Fragnesia, una variante de Dirty Frag
Fallo	skb_try_coalesce() descarta el marcador de fragmento compartido, por lo que la entrada ESP-in-TCP descifra in situ sobre páginas de la caché de páginas (CWE-456)
Impacto	Un usuario local reescribe el contenido en caché de archivos que solo puede leer. La prueba de concepto pública ataca la copia en caché de /usr/bin/su, por lo que la siguiente ejecución de ese programa ejecuta código del atacante como root
Gravedad	7.8 alta, puntuada por el CNA del kernel y NVD (AV:L/AC:L/PR:L/UI:N)
Explotación	Añadida a CISA KEV el 2026-10-28, fecha límite federal 2026-10-31, marcada para triaje forense. La entrada de CISA indica que puede encadenarse con los fallos de PHP2Shell para implantar webshells en PHP y ejecutar comandos como root
La cadena	Dream Security informó de la cadena que comprometió 25 dispositivos de firewall, incluidos sistemas en una red afiliada al gobierno de US: PHP2Shell consigue ejecutar código como el usuario web, Fragnesia lo convierte en root, incluso bajo confinamiento SELinux, porque nunca solicita acceso de escritura al sistema de archivos

Fragnesia no es un ataque remoto. Nadie lo usa contra un servidor solo desde la red. Necesita código que ya se esté ejecutando en la máquina, que es exactamente lo que proporciona una webshell, un inicio de sesión SSH robado o un trabajo de CI comprometido. Por eso se combina con foxcornlab/php2shell-scanner: evalúe el lado de PHP allí, evalúe el lado del kernel aquí.

Versiones corregidas

Upstream stable (commit de corrección f84eca581739)

Línea	Corregida en
7.0	7.0.10
6.18	6.18.33
6.12	6.12.91
6.6	6.6.141
6.1	6.1.174
5.15	5.15.208
5.10	5.10.257
7.1 y posteriores	No afectadas
Anteriores a 3.9	No afectadas, según el registro del CVE
Cualquier otra línea (p. ej. 6.17, 6.5)	No hay versión corregida upstream listada, pase a una línea corregida

Ubuntu (compilaciones corregidas exactas)

Versión	Compilación corregida
26.04	7.0.0-22.22
25.10	6.17.0-35.35
24.04	6.8.0-124.124
22.04	5.15.0-181.191
20.04 kernel estándar 5.4	Listado como no afectado por Ubuntu
20.04 kernel 5.15 HWE	Solo Ubuntu Pro, consulte su aviso de Pro

Debian (compilaciones corregidas exactas)

Versión	Compilación corregida
13 trixie	6.12.90-1 (DSA-6295-1)
12 bookworm	6.1.174-1 (DSA-6306-1)
11 bullseye	5.10.257-1 (DLA-4606-1)

RHEL y derivados

Por flujo, consulte RHSA-2026:19521 y posteriores. Esta herramienta evalúa los hosts RHEL contra la corrección upstream y nombra el aviso, porque Red Hat no publica un único número de versión contra el que esta herramienta pueda evaluar.

Donde las fuentes discrepan

Dos discrepancias, ambas seguidas deliberadamente. Un artículo secundario sobre la actualización de KEV del 28 de octubre imprime 2.7 para este CVE; esa es la puntuación de VMware ESX de la misma actualización, intercambiada con la entrada del kernel. NVD, el CNA del kernel y Red Hat dicen todos 7.8, así que esta herramienta sigue 7.8. Segunda: el rango de NVD para la línea 5.10 llega hasta 5.10.257, mientras que el registro upstream y Debian listan ambos 5.10.257-1 como la compilación corregida. Esta herramienta sigue a upstream y a Debian y evalúa 5.10.257 como corregida.

Trampa 1: uname oculta el número de subida

La compilación corregida de Ubuntu para 24.04 es 6.8.0-124.124. uname -r imprime 6.8.0-124-generic. El número de carga posterior al segundo punto nunca aparece en la salida de uname, por lo que un kernel en ejecución cuyo ABI coincide con el ABI corregido no puede descartarse solo con uname. Esta herramienta califica ese caso como UNKNOWN, no como limpio, y te indica que verifiques la versión del paquete linux-image instalado. Un ABI inferior al ABI corregido es definitivamente VULNERABLE; un ABI superior es FIXED. Pasa --package-version con la versión de dpkg para obtener una calificación definitiva.

Trampa 2: instalado no es arrancado

Un paquete de kernel corregido que está instalado pero no en ejecución no hace nada. --local compara el kernel en ejecución con el paquete de kernel instalado más reciente e indica claramente cuándo difieren, y señala /var/run/reboot-required cuando hay una actualización de kernel pendiente.

Trampa 3: la evidencia vive en memoria, no en disco

Fragnesia escribe en la caché de páginas del kernel y nunca toca el disco. Un reinicio borra la puerta trasera y la evidencia a la vez. Si sospechas que un host fue comprometido, revisa antes de reiniciar cualquier cosa: compara una lectura normal de un archivo con una lectura directa que omita la caché, y recopila lo que necesites primero. Las herramientas de integridad de archivos que solo calculan el hash de los archivos almacenados después de un reinicio no lo detectarán.

Qué verifica

• Una versión de kernel que proporciones (--kernel), calificada según la tabla de correcciones upstream
• Una versión de Ubuntu (--ubuntu 24.04) con la trampa del ABI mencionada arriba, o --package-version para una calificación definitiva
• Una versión de Debian (--debian bookworm) a partir de la versión del paquete instalado (las cadenas de Debian uname solo contienen un número de ABI, por lo que se califican como UNKNOWN por sí solas)
• Este host (--local): kernel en ejecución, os-release, paquete de kernel instalado más reciente, módulos ESP cargados (esp4, esp6, rxrpc), indicador de reinicio requerido, y si PHP está instalado (calificado por separado, ver abajo)
• Presencia del módulo ESP: un kernel vulnerable con esp4/esp6 cargados tiene la ruta alcanzable activa en este momento

Uso

# grade one version
python3 fragnesia_scanner.py --kernel 6.6.140

# Ubuntu 24.04, uname only (ABI match -> UNKNOWN, upload hidden)
python3 fragnesia_scanner.py --ubuntu 24.04 --kernel 6.8.0-124-generic

# Ubuntu 24.04, definitive grade from the installed package
python3 fragnesia_scanner.py --ubuntu 24.04 --kernel 6.8.0-124-generic --package-version 6.8.0-124.124

# Debian bookworm from the installed package
python3 fragnesia_scanner.py --debian bookworm --package-version 6.1.174-1

# this host, everything at once
python3 fragnesia_scanner.py --local

# machine-readable output for fleets
python3 fragnesia_scanner.py --local --json

Códigos de salida: 0 = no se encontró nada vulnerable, 2 = hallazgo vulnerable, 1 = error de escaneo. UNKNOWN no cambia el código de salida, pero no está limpio.

La mitad PHP de la cadena

Si --local encuentra PHP en el host, lo indica y remite a foxcornlab/php2shell-scanner para la calificación de PHP. Esta herramienta deliberadamente no califica PHP por sí misma: ese escáner ya es dueño de la tabla de correcciones de PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12, y una herramienta dueña de una tabla de correcciones es mejor que dos herramientas que se desvían entre sí.

Mitigación si no puedes parchear hoy