CISA Peringatkan Celah Linux Fragnesia, Hacker Gabungkan dengan PHP2Shell untuk Ambil Alih Server
Cybersecurity and Infrastructure Security Agency (CISA) Amerika Serikat mengeluarkan peringatan mengenai kerentanan Linux kernel bernama Fragnesia, yang diketahui telah dieksploitasi bersama celah PHP2Shell untuk mengambil alih sistem dengan hak akses root.
Kerentanan yang dilacak sebagai CVE-2026-46300 tersebut memungkinkan penyerang meningkatkan hak akses dari pengguna biasa menjadi administrator tertinggi pada sistem Linux yang rentan.
Dalam serangan yang ditemukan peneliti keamanan Dream Security, Fragnesia dikombinasikan dengan dua kerentanan PHP, yaitu CVE-2026-109618 dan CVE-2026-109619, untuk menembus firewall dan sistem manajemen jaringan.
Rangkaian serangan tersebut dilaporkan berhasil mengkompromikan 25 server dan perangkat firewall di Amerika Serikat, Jepang, Taiwan, serta Korea Selatan, termasuk tiga sistem yang berkaitan dengan sebuah organisasi yang berafiliasi dengan pemerintah Amerika Serikat.
Pada 28 Oktober 2026, CISA memasukkan CVE-2026-46300 ke dalam Known Exploited Vulnerabilities (KEV) Catalog setelah memperoleh bukti eksploitasi aktif.
Apa Itu Kerentanan Fragnesia CVE-2026-46300?
Fragnesia merupakan kerentanan pada Linux kernel yang berkaitan dengan kesalahan pengelolaan memori dalam subsistem jaringan XFRM ESP-in-TCP.
Komponen tersebut digunakan untuk menangani pemrosesan paket jaringan terenkripsi dalam implementasi tertentu.
Kerentanan muncul ketika Linux kernel gagal mempertahankan penanda khusus pada fragmen memori selama proses penggabungan socket buffer.
Akibatnya, data yang seharusnya dilindungi dari modifikasi dapat mengalami perubahan melalui operasi penulisan memori yang tidak semestinya.
Kelemahan ini termasuk dalam keluarga kerentanan Dirty Frag, yang memungkinkan manipulasi terhadap data yang didukung page cache.
Dalam kondisi yang rentan, penyerang dengan kemampuan menjalankan kode lokal dapat memanfaatkan celah tersebut untuk meningkatkan hak akses hingga root.
Akses root merupakan tingkat hak akses tertinggi dalam sistem Linux dan memungkinkan perubahan terhadap konfigurasi, file sistem, serta berbagai komponen penting lainnya.
Namun, Fragnesia sendiri bukan kerentanan Remote Code Execution yang secara langsung dapat dieksploitasi melalui internet.
Penyerang terlebih dahulu membutuhkan kemampuan menjalankan kode pada sistem yang rentan sebelum memanfaatkan Fragnesia untuk melakukan privilege escalation.
Hacker Gabungkan Fragnesia dengan Dua Celah PHP2Shell
Dalam laporan yang diterbitkan pada 26 Oktober 2026 dan diperbarui pada 29 Oktober, Dream Security mengungkap bagaimana penyerang menggabungkan tiga kerentanan untuk memperoleh kendali penuh terhadap sistem.
Tahap awal memanfaatkan PHP2Shell, yaitu dua celah kritis pada PHP yang telah diumumkan sebelumnya.
Kedua kerentanan tersebut meliputi:
- CVE-2026-109618: Kesalahan penanganan kondisi kehabisan memori yang berpotensi menyebabkan Remote Code Execution.
- CVE-2026-109619: Kelemahan pengelolaan referensi memori yang dapat memungkinkan penyerang menjalankan kode berbahaya.
Melalui PHP2Shell, penyerang dapat memperoleh kemampuan eksekusi kode pada proses aplikasi yang rentan.
Namun, proses tersebut biasanya berjalan menggunakan akun dengan hak akses terbatas.
Untuk meningkatkan akses, penyerang kemudian menggunakan Fragnesia guna mengeksploitasi Linux kernel.
Kombinasi tersebut memungkinkan penyerang memperoleh hak akses root dan memasang PHP webshell.
Webshell merupakan script berbahaya yang memungkinkan penyerang menjalankan perintah melalui antarmuka web setelah sistem berhasil dikompromikan.
Menurut Dream Security, rangkaian eksploitasi yang diamati dapat diselesaikan dalam waktu kurang dari 15 menit pada sistem yang memenuhi kondisi rentan.
Sebanyak 25 Sistem Berhasil Dikompromikan
Dream Security menemukan aktivitas serangan yang menargetkan perangkat Palo Alto Networks PAN-OS dengan antarmuka manajemen yang dapat diakses melalui internet.
Berdasarkan artefak yang dianalisis, penyerang awalnya mengidentifikasi sekitar 19.000 perangkat firewall.
Dari jumlah tersebut, sekitar 5.000 sistem merespons proses identifikasi versi, kemudian disaring menjadi 240 target yang sesuai dengan profil eksploitasi penyerang.
Serangan otomatis terhadap target tersebut berhasil memberikan akses root pada 24 firewall.
Penyerang kemudian memanfaatkan akses terhadap salah satu organisasi untuk menyerang server manajemen firewall internal, sehingga jumlah keseluruhan sistem yang berhasil dikompromikan mencapai 25.
Tiga sistem dalam rangkaian serangan tersebut berkaitan dengan lingkungan organisasi yang berafiliasi dengan pemerintah Amerika Serikat.
Peneliti juga menemukan sekitar 40 script khusus yang digunakan dalam aktivitas setelah eksploitasi.
Script tersebut dirancang untuk membantu pengumpulan informasi, pengelolaan akses, dan aktivitas lanjutan di dalam jaringan korban.
Palo Alto Networks melalui Unit 42 telah mengonfirmasi temuan utama Dream Security serta aktivitas eksploitasi terhadap antarmuka manajemen PAN-OS yang terekspos ke internet.
Penyerang Berusaha Mengakses Active Directory
Setelah berhasil menguasai perangkat firewall, penyerang tidak berhenti pada akses administratif terhadap sistem tersebut.
Dream Security menemukan upaya untuk bergerak lebih jauh menuju infrastruktur identitas internal organisasi.
Penyerang membangun koneksi tersembunyi dari perangkat yang telah dikompromikan menuju jaringan internal.
Melalui jalur tersebut, mereka berhasil mengakses server manajemen firewall dan memperoleh informasi mengenai konfigurasi jaringan.
Peneliti juga mengonfirmasi bahwa pelaku berhasil mendapatkan kredensial akun layanan LDAP serta melakukan enumerasi pengguna dan grup dalam Active Directory.
Selain itu, ditemukan percobaan password spraying dan pembuatan akun tersembunyi.
Namun, Dream Security belum dapat memastikan apakah seluruh percobaan lanjutan tersebut berhasil.
Temuan ini menunjukkan bahwa kompromi terhadap antarmuka manajemen firewall dapat berkembang menjadi ancaman yang jauh lebih luas dibandingkan pengambilalihan satu perangkat.
CISA Tetapkan Tenggat Penanganan 31 Oktober 2026
Setelah mengonfirmasi eksploitasi aktif, CISA menambahkan CVE-2026-46300 ke dalam katalog KEV pada 28 Oktober 2026.
Berdasarkan data katalog tersebut, tenggat penanganan untuk lembaga pemerintah federal Amerika Serikat yang tercakup adalah 31 Oktober 2026.
Ketentuan ini mengikuti Binding Operational Directive (BOD) 26-04 yang mengatur prioritas pembaruan keamanan berdasarkan tingkat risiko.
CISA juga secara khusus memperingatkan bahwa Fragnesia dapat digabungkan dengan CVE-2026-109618 dan CVE-2026-109619 untuk memasang PHP webshell dan menjalankan perintah sebagai root.
Meskipun kewajiban tersebut berlaku untuk lembaga pemerintah federal tertentu, organisasi swasta dan penyedia infrastruktur juga disarankan segera melakukan pemeriksaan.
Kerentanan ini relevan bagi server Linux yang menggunakan kernel terdampak, termasuk sistem dengan implementasi XFRM yang rentan.
Namun, tidak semua distribusi Linux atau versi kernel otomatis terdampak.
Status keamanan harus diperiksa berdasarkan advisory resmi distribusi karena vendor dapat menyediakan perbaikan melalui mekanisme backport.
Administrator Linux dan Firewall Diminta Segera Memasang Patch
Untuk mengurangi risiko eksploitasi Fragnesia dan PHP2Shell, administrator disarankan segera memastikan bahwa seluruh komponen sistem menggunakan pembaruan keamanan terbaru.
Pada server Linux, pemeriksaan perlu dilakukan terhadap versi kernel yang digunakan serta status patch CVE-2026-46300 berdasarkan informasi dari vendor sistem operasi.
Sementara itu, aplikasi PHP harus diperbarui ke versi yang telah menyertakan perbaikan CVE-2026-109618 dan CVE-2026-109619.
Namun, memperbarui PHP saja tidak secara otomatis memperbaiki kerentanan Fragnesia pada Linux kernel.
Keduanya merupakan masalah keamanan berbeda yang membutuhkan penanganan sesuai komponen terdampak.
Untuk produk firewall yang menggunakan PHP sebagai bagian dari firmware, pembaruan perlu mengikuti rilis resmi produsen perangkat.
Palo Alto Networks telah menyediakan sejumlah hotfix PAN-OS untuk menangani PHP2Shell dan menyarankan pelanggan segera memasangnya.
Perusahaan juga merekomendasikan agar antarmuka manajemen firewall tidak diekspos langsung ke internet.
Akses administrasi sebaiknya dibatasi hanya melalui jaringan internal terpercaya atau jump host yang telah diamankan.
Selain pemasangan patch, administrator perlu memeriksa kemungkinan kompromi sebelumnya, terutama apabila antarmuka manajemen pernah terbuka ke internet ketika sistem masih rentan.
Kombinasi Kerentanan Membuat Serangan Semakin Berbahaya
Kasus Fragnesia dan PHP2Shell memperlihatkan bagaimana beberapa kerentanan berbeda dapat digabungkan untuk menghasilkan dampak yang lebih besar.
PHP2Shell memberikan peluang akses awal melalui eksekusi kode jarak jauh, sedangkan Fragnesia memungkinkan peningkatan hak akses hingga root.
Setelah memperoleh kendali penuh, penyerang berpotensi mempertahankan akses melalui webshell dan menjangkau infrastruktur internal lainnya.
Temuan Dream Security menunjukkan bahwa risiko tersebut bukan hanya kemungkinan teoretis, melainkan telah diamati dalam serangan nyata terhadap 25 sistem.
Bagi pengelola server, penyedia hosting, dan administrator jaringan, insiden ini menegaskan pentingnya memperbarui seluruh lapisan software, termasuk runtime aplikasi, kernel sistem operasi, dan firmware perangkat.
Menutup celah pada satu komponen saja belum tentu cukup apabila penyerang masih dapat memanfaatkan kerentanan lain untuk meningkatkan hak akses dan mempertahankan kendali atas sistem.
Sumber: Dream Security — Chained PHP2Shell Exploit Roots 25 Servers, Including US Government Servers
