Sicherheitswarnungen · 28. Oktober 2026
Linux-Kernel „Fragnesia“: Angreifer machen sich nach PHP2Shell zum Root
Eine seit Mai bekannte Kernel-Lücke wird jetzt aktiv ausgenutzt: Angreifer, die über PHP2Shell auf einen Webserver gelangt sind, verschaffen sich damit volle Root-Rechte. Die CISA führt sie seit 28. Oktober als ausgenutzt.
Worum es geht
Linux-Kernel
Die Lücke mit dem Spitznamen Fragnesia steckt in einem Teil des Linux-Kernels, der verschlüsselte Netzwerkverbindungen (IPsec) verarbeitet. Ein Benutzer ohne besondere Rechte kann damit den Inhalt schreibgeschützter Systemdateien im Arbeitsspeicher verändern und sich so zum Administrator (Root) machen. Von außen allein ist die Lücke nicht nutzbar, der Angreifer muss schon Code auf dem Server ausführen können.
Genau das liefern derzeit die PHP2Shell-Lücken in PHP. Sicherheitsforscher haben Ende Oktober Angriffe beobachtet, bei denen zuerst über PHP eine Hintertür auf dem Webserver abgelegt und danach mit Fragnesia die komplette Kontrolle übernommen wurde. Von dort aus ging es weiter ins interne Netz und zum Active Directory. Die US-Behörde CISA hat die Lücke am 28. Oktober in ihre Liste aktiv ausgenutzter Schwachstellen aufgenommen.
Die Linux-Distributionen haben seit Mai 2026 korrigierte Kernel veröffentlicht. Wer seine Server regelmäßig aktualisiert und danach neu startet, ist in der Regel bereits geschützt. Gefährdet sind vor allem Webserver mit PHP, bei denen Kernel-Updates zwar installiert, aber ohne Neustart nie aktiv geworden sind.
Betroffen
- Linux-Kernel ohne den Fix vom Mai 2026, in allen gängigen Distributionen (u. a. Ubuntu, Debian, Red Hat Enterprise Linux, SUSE, AlmaLinux)
Behoben
- Aktuelle Kernel-Updates der jeweiligen Distribution; upstream ab 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33 bzw. 7.0.10
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Auf allen Linux-Servern mit uname -r prüfen, welcher Kernel tatsächlich läuft, und mit dem Stand der Distribution vergleichen.
- 02
Kernel-Updates einspielen und den Server neu starten, damit der neue Kernel auch aktiv wird.
- 03
Falls ein Update nicht sofort möglich ist: die Kernel-Module esp4, esp6 und rxrpc entladen und deren Laden sperren, sofern kein IPsec-VPN auf dem Server läuft.
- 04
PHP auf den aktuellen Stand bringen, damit Angreifer gar nicht erst Code auf dem Server ausführen können.
- 05
Webserver auf unbekannte PHP-Dateien, neue Benutzerkonten und ungewöhnliche ausgehende SSH-Verbindungen prüfen; bei Verdacht den Server als kompromittiert behandeln.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 28. Oktober 2026. Grundlage: CISA KEV · The Hacker News · SecurityOnline · Tenable. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu