---
title: "CISA alerta para falha Fragnesia do Linux usada com PHP2Shell"
author: "Ignácio Afonso"
date: "2026-10-30 06:55:15.364-03"
category: "Segurança & Privacidade"
url: "http://desbugados.scale.press/portal/desbugados/post/2026/10/30/cisa-alerta-para-falha-fragnesia-do-linux-usada-com-php2shell/md"
---

## Resumo
- A CISA alertou para a falha Fragnesia, identificada como CVE-2026-46300, no kernel Linux.
- A vulnerabilidade está sendo encadeada com os ataques PHP2Shell.
- A combinação pode permitir escalada de privilégios até root.
- O PHP2Shell reúne duas falhas críticas com pontuação CVSS v4.0 de 9,2.
- As agências federais dos Estados Unidos foram orientadas a aplicar correções.
- Sistemas que não puderem ser corrigidos imediatamente devem ser retirados da rede.

---

Um alerta da **CISA** colocou a falha Fragnesia, identificada como **CVE-2026-46300**, no centro dos ataques que exploram o PHP2Shell. O problema está no kernel Linux e vem sendo encadeado a vulnerabilidades do PHP para transformar uma execução remota de código em acesso com privilégios de **root**, a conta administrativa máxima do sistema. Para as agências federais dos Estados Unidos, a orientação é corrigir os sistemas afetados sem esperar que a cadeia de ataque avance.



## A primeira porta da invasão


O PHP2Shell reúne duas falhas críticas de execução remota de código, identificadas como **CVE-2026-109618** e **CVE-2026-109619**. As vulnerabilidades receberam pontuação **CVSS v4.0 de 9,2**; uma está associada à corrupção de memória por falta de memória, enquanto a outra envolve um estado global persistente. As versões corrigidas lançadas em 21 de outubro de 2026 incluem PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, conforme a [análise técnica das falhas](https://www.greenbone.net/en/blog/php2shell-remote-code-execution-cve-2026-109618-cve-2026-109619/).


É nessa passagem que a Fragnesia muda o tamanho do problema. Depois que o PHP2Shell abre a possibilidade de executar comandos à distância, a falha do Linux pode permitir a escalada de privilégios, isto é, a passagem de uma conta limitada para o nível administrativo do sistema. O atacante deixa de apenas executar código e passa a buscar controle mais amplo da máquina. A piada de terminal seria que o invasor pediu mais acesso e o sistema respondeu: root, por quê? É ruim, eu sei; o kernel também não riu.



## Por que a CISA tratou a combinação como urgente


A CISA orientou as **agências federais dos Estados Unidos** a aplicar as correções relacionadas à falha. A recomendação acompanha a descrição dos ataques PHP2Shell, nos quais a Fragnesia aparece como uma segunda etapa para elevar os privilégios depois do acesso inicial. A combinação importa porque uma brecha no aplicativo e outra no núcleo do sistema cumprem funções diferentes na mesma invasão: uma abre a porta, a outra tenta tomar a casa.


A urgência também vem do fato de que as vulnerabilidades PHP2Shell já foram incluídas no catálogo de **vulnerabilidades exploradas conhecidas** da CISA. Pesquisadores da Amazon Threat Intelligence relataram que a exploração começou antes da divulgação oficial das correções do PHP. O alerta específico sobre a Fragnesia descreve justamente o encadeamento com esses ataques, como registra a [reportagem da BleepingComputer](https://www.bleepingcomputer.com/news/security/cisa-warns-of-fragnesia-linux-flaw-chained-in-php2shell-attacks).



## O próximo passo para os sistemas afetados


O caminho indicado pelas fontes é direto: corrigir o PHP e o componente Linux afetado antes que a sequência consiga chegar aos privilégios de root. Quando o reparo imediato não for possível, a recomendação da CISA é retirar o sistema da rede. Essa medida interrompe a exposição pública enquanto a equipe responsável trabalha na atualização, embora também possa afetar os serviços que dependem daquela máquina.


As fontes não informam quantos sistemas Linux já foram comprometidos especificamente pela Fragnesia nem por quanto tempo a exploração continuará. O que está documentado é suficiente para orientar a decisão imediata: a CISA trata a falha como parte de uma cadeia ativa, e as agências federais devem priorizar a correção ou a desconexão temporária dos equipamentos vulneráveis.