Fragnesia CVE-2026-46300 ya tiene plazo encima: el 31 de octubre. La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) metió este fallo del núcleo de Linux en su catálogo de vulnerabilidades explotadas el 28 de octubre y dio tres días a las agencias federales para corregirlo, porque un atacante ya lo usó para quedarse con el control total de cortafuegos de Palo Alto Networks.
Fragnesia CVE-2026-46300 marca 7,8 en la escala CVSS 3.1, nivel alto, y su peligro real está en la compañía que lleva. Solo, este fallo pide acceso local con pocos privilegios. Encadenado con la ejecución de código que abre la puerta, convierte una intrusión limitada en root, el nivel máximo de control dentro de un equipo Linux.
Esa puerta ya tenía nombre en esta casa. La cadena arranca con PHP2Shell, los fallos CVE-2026-109618 y CVE-2026-109619 de PHP que permiten ejecutar comandos sin credenciales en interfaces de administración de PAN-OS expuestas a internet, un ataque que ya estaba en curso contra esos paneles. Lo nuevo de esta semana es la segunda pieza: Fragnesia tiene identidad propia en el catálogo oficial, Unit 42 verificó las herramientas del atacante el 29 de octubre y Dream Research actualizó su investigación con el mecanismo completo.
Una petición, quince minutos y root total
Dream Research reconstruyó la cadena pieza por pieza. Los cortafuegos atacados corren PAN-OS 12.1 y 12.2 con PHP 8.0.30. El código malicioso entra en cuatro etapas, agota memoria con peticiones preparadas, filtra una dirección interna del proceso y termina ejecutando comandos como el usuario nobody, el escalón más bajo del sistema.
Ahí entra Fragnesia. El fallo vive en el subsistema XFRM ESP-in-TCP del núcleo de Linux, la parte que procesa tráfico cifrado IPsec, y pierde una marca de fragmento compartido al unir búferes de red. Con ese hueco, el atacante escribe en la caché de páginas y reescribe un archivo chiquito con un efecto enorme: /etc/pam.d/su, de 774 bytes, cuyas reglas de autenticación quedan sustituidas por pam_permit.so, el módulo que acepta todo. Tras ese cambio, un simple su root entra sin contraseña.
Las dos piezas corren dentro de una sola petición. Dream Research midió la cadena completa, desde la conexión HTTPS sin credenciales hasta una shell web persistente con root, en menos de 15 minutos. La shell plantada pesa 103 bytes y queda en un directorio público del cortafuegos, lista para que el atacante vuelva cuando quiera, aunque el panel ya no responda igual.
De 19.000 cortafuegos vistos a 25 con root
La campaña no fue un tiro al aire. Dream Research recuperó listas de objetivos, registros de explotación y cerca de 40 guiones hechos a medida para después de la entrada. Con FOFA, un buscador chino de activos expuestos, el atacante localizó unos 19.000 cortafuegos PAN-OS con la administración visible. Unos 5.000 respondieron con su versión. El filtro final dejó 240 equipos en Estados Unidos, Japón, Taiwán y Corea del Sur.
El resultado quedó en 25 servidores con root: 24 cortafuegos expuestos y un servidor interno de administración alcanzado después, por un túnel abierto desde uno de los equipos ya tomados. Tres de esos sistemas pertenecen a un entorno vinculado al gobierno estadounidense. En menos de 90 minutos tras tomar el segundo cortafuegos de ese entorno, el atacante repitió la misma cadena contra el servidor que administra todos los cortafuegos de la organización.
Con ese servidor en la mano, el objetivo cambió de nombre: Active Directory, el directorio que guarda usuarios y permisos de la red. Los artefactos recuperados confirman extracción de credenciales y enumeración completa del directorio, incluida la contraseña de la cuenta de servicio LDAP descifrada desde la configuración del equipo. Dream Research también encontró rociado de contraseñas contra todas las cuentas, en un dominio con el bloqueo por intentos fallidos desactivado, y pruebas contra Keycloak, el sistema de acceso único.
La atribución pide cuidado. Dream Research describe una campaña con señales de apoyo de inteligencia artificial: en la infraestructura aparecieron Claude Code instalado, una plataforma ofensiva llamada aiscan configurada con modelos chinos DeepSeek y Kimi, y claves de FOFA. La propia firma aclara que no tiene evidencia directa de que esas herramientas escribieran el código malicioso. Palo Alto Networks confirmó explotación activa contra interfaces expuestas y Unit 42 verificó de forma independiente las herramientas del atacante.
Qué parchear antes del 31 de octubre y qué revisar después
El plazo de CISA corre para las agencias federales, pero cualquier empresa con PAN-OS y la administración abierta a internet tiene el mismo problema hoy. Palo Alto Networks está publicando versiones corregidas de PAN-OS y el parche que corrige Fragnesia CVE-2026-46300 en el núcleo de Linux exige reinicio para entrar en servicio. eSecurity Planet recogió además la salida temporal de Canonical para Ubuntu: bloquear la carga de los módulos esp4 y esp6 cuando el equipo no usa IPsec, medida que se retira al instalar el núcleo corregido.
Cerrar la administración a redes de confianza pesa tanto como el parche. Cada equipo tomado tenía el panel visible desde internet, y parchear no borra lo que ya pudo quedar dentro: la shell de 103 bytes, un túnel que sobrevive reinicios o credenciales copiadas obligan a revisar el equipo y rotar secretos. El primer cortafuegos del entorno gubernamental cayó con unos 900 MB de tráfico del propio ataque y nunca volvió a responder; el atacante lo sondeó 240 veces en dos horas, esperando que despertara.
Fuente: eSecurity Planet
