La agencia de ciberseguridad de Estados Unidos, CISA, añadió el 28 de octubre de 2026 una falla del kernel de Linux a su catálogo de vulnerabilidades explotadas. Su registro advierte que CVE-2026-46300 puede combinarse con las dos fallas PHP2Shell para instalar puertas traseras en servidores web y ejecutar comandos como root, la cuenta con mayores privilegios del sistema. La nueva entrada lleva la revisión más allá de PHP: también importa el kernel que ejecuta el equipo.
Dos fallas de PHP y una vía para elevar privilegios
CISA había incorporado el 26 de octubre CVE-2026-109618 y CVE-2026-109619, los dos fallos de PHP2Shell, a su catálogo de vulnerabilidades explotadas. Fue un cambio respecto de su alerta del día 21, cuando la agencia decía que todavía no había observado su explotación. FomoEra explicó entonces el alcance de los parches de PHP y la diferencia entre intentos de ataque y sistemas comprometidos.
Gerardo Pavez
Los fallos de PHP pueden permitir la ejecución remota de código sin autenticación. Fragnesia, nombre de CVE-2026-46300, afecta al kernel de Linux y permite a un atacante que ya tiene acceso local elevar sus privilegios, según Red Hat. Por sí sola, esta segunda falla no constituye la entrada remota que describe la alerta de PHP. La exposición a Fragnesia depende del kernel y del producto afectados; la cadena que señala CISA aprovecha ambas etapas para alcanzar el control como root.
La firma de seguridad Dream documentó un caso, reseñado por SecurityWeek: afirma haber encontrado registros de una operación que comprometió 24 cortafuegos y, después, un servidor de administración, para un total de 25 sistemas. Su investigación atribuye la entrada a PHP2Shell y el aumento de privilegios a Fragnesia. Dream no identificó públicamente al fabricante de los equipos. Los 25 sistemas son el resultado de esa investigación, no una cifra general de CISA sobre todos los ataques.
Qué significan las fechas del catálogo
El catálogo de CISA fija el 29 de octubre de 2026 como fecha de remediación para las dos fallas de PHP y el 31 de octubre para Fragnesia. En las tres entradas también marca como necesaria una revisión forense conforme a su directiva BOD 26-04. Esas obligaciones corresponden a las agencias civiles federales de Estados Unidos; CISA alienta al resto de organizaciones a priorizar las vulnerabilidades del catálogo según su riesgo.
PHP publicó el 21 de octubre las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para la falla de Linux hace falta comprobar el estado del kernel con el proveedor de la distribución o del equipo: Red Hat, por ejemplo, publicó correcciones para sus productos afectados. Actualizar PHP y el kernel resuelve problemas distintos; la revisión forense busca establecer si hubo acceso antes de aplicar esas correcciones.
Gerardo Pavez
