A quem se destina: pessoas que operam servidores Linux, especialmente servidores web com PHP, WordPress ou Laravel, e equipes que executam contêineres. Este artigo se baseia no alerta e no catálogo da CISA, no registro CVE do projeto do kernel, nas páginas do Ubuntu, da Red Hat e do Debian e no relato de uma empresa de segurança. Não trata de passos de ataque nem de código de exploração.
Em andamento: esta página será atualizada conforme mais informações forem publicadas
Em 29 de outubro de 2026, 00h00 UTCAinda não se sabe
- Quem está sendo atacado e em que escala (a CISA não deu detalhes)
- O fabricante e as versões dos firewalls do relato da empresa de segurança
- A avaliação própria do NVD
- Se outras distribuições e fabricantes de equipamentos publicaram kernels corrigidos
O projeto do kernel publicou o CVE em 23 de maio de 2026. A CISA o adicionou ao catálogo KEV em 28 de outubro (horário dos EUA) com prazo em 31 de outubro. Já há kernels de distribuição disponíveis para Ubuntu, Red Hat e Debian.
1. Falha do PHP (CVE-2026-109618 / 109619)
O código roda como a conta do servidor web. Correção: atualizar o PHP
Webshell deixada no diretório web
Procure arquivos PHP que você não adicionou
2. Falha do kernel (CVE-2026-46300)
A conta web vira root. Correção: atualizar o kernel e reiniciar
O que fazer hoje
Descubra se o servidor roda PHP ou deixa qualquer pessoa executar código localmente
Servidores web com PHP são a primeira prioridade porque a CISA descreve a cadeia do PHP. Servidores compartilhados, executores de CI, hosts de contêineres e qualquer máquina onde usuários ou código não confiáveis possam rodar também importam, já que a falha só precisa de uma conta local com poucos privilégios (visão deste site).
Atualize o PHP
Passe para o PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou posterior. Os detalhes estão em nosso artigo sobre o PHP. Uma atualização do kernel não corrige as falhas do PHP.
Instale o kernel corrigido
Use a ferramenta de atualização da sua distribuição e compare o resultado com as tabelas abaixo. Ubuntu, Red Hat e Debian publicaram kernels corrigidos.
Reinicie e confirme o kernel em execução
Execute uname -r depois de reiniciar. Um pacote instalado mas que não está em execução não protege você. Planeje a reinicialização para hoje, e não para a próxima janela de manutenção, porque o prazo da CISA é 31 de outubro.
Procure webshells e sinais de acesso root
A CISA marca esta entrada como exigindo triagem forense. Procure arquivos PHP que você não adicionou, arquivos alterados recentemente em diretórios web, novas contas de usuário, novas tarefas agendadas, novas chaves SSH e conexões de saída que não reconheça. Se encontrar algum, trate o servidor como comprometido e veja Como verificar se seu site ou servidor foi comprometido.
Versões corrigidas
| Linha do kernel | Corrigida em | Fonte |
|---|---|---|
| 5.10 | 5.10.257 | Registro CVE do kernel do Linux |
| 5.15 | 5.15.208 | Registro CVE do kernel do Linux |
| 6.1 | 6.1.174 | Registro CVE do kernel do Linux |
| 6.6 | 6.6.141 | Registro CVE do kernel do Linux |
| 6.12 | 6.12.91 | Registro CVE do kernel do Linux |
| 6.18 | 6.18.33 | Registro CVE do kernel do Linux |
| 7.0 | 7.0.10 | Registro CVE do kernel do Linux |
| 7.1 e posteriores | Não afetadas | Registro CVE do kernel do Linux |
As distribuições incorporam as correções sem mudar o número de versão original, então, para kernels empacotados, guie-se pela versão do pacote da distribuição, e não só pelo número original.
| Distribuição | Pacote de kernel corrigido |
|---|---|
| Ubuntu 26.04 LTS | 7.0.0-22.22 |
| Ubuntu 25.10 | 6.17.0-35.35 |
| Ubuntu 24.04 LTS | 6.8.0-124.124 |
| Ubuntu 22.04 LTS | 5.15.0-181.191 |
| Ubuntu 26.10 e 20.04 e anteriores | Listadas como não afetadas (Ubuntu) |
| RHEL 8 | 4.18.0-553.125.1.el8_10 |
| RHEL 9 | 5.14.0-687.10.1.el9_8 |
| RHEL 10.2 | 6.12.0-211.16.1.el10_2 |
| Debian 12 (bookworm) | 6.1.190-1 (segurança) |
| Debian 13 (trixie) | 6.12.113-1 (segurança) |
O Ubuntu também lista kernels corrigidos de nuvem e especializados (AWS, Azure, GCP, Oracle, IBM, Raspberry Pi, tempo real e FIPS), então confira na página do Ubuntu a variante que você realmente usa. A Red Hat lista correções para fluxos mais antigos de suporte estendido, e a falha também afeta produtos baseados no kernel do RHEL, como o OpenShift. Hosts que usam um kernel do fabricante, como equipamentos de rede, precisam da atualização do fabricante do equipamento.
O que foi divulgado
- CVE
- CVE-2026-46300, apelidado de Fragnesia pelo Ubuntu e pela Red Hat
- Tipo
- Falta de inicialização de uma variável (CWE-456 no catálogo da CISA). A Red Hat a classifica como uma condição de escrita de qualquer coisa em qualquer lugar (CWE-123)
- Gravidade
- CVSS v3.1 7.8 (AV:L/AC:L/PR:L/UI:N). A Red Hat a classifica como Importante e o Ubuntu como Alta
- Onde
- Código de rede do kernel (
skb_try_coalesce()em net/core/skbuff.c) e o caminho de recepção do IPsec ESP-em-TCP - Impacto
- Um usuário local com poucos privilégios pode gravar dados na cópia em cache na memória de arquivos somente leitura, o que pode levar a root. O Ubuntu diz também que poderia permitir escapar de um contêiner
- Corrigida
- Veja as tabelas acima. O registro CVE é de 23 de maio de 2026
- Exploração conhecida
- Adicionada ao catálogo KEV da CISA em 28 de outubro de 2026 (horário dos EUA) como "Linux Kernel Missing Initialization of a Variable Vulnerability". Prazo 31 de outubro. Triagem forense exigida. Uso em ransomware: desconhecido
Segundo a descrição do projeto do kernel, a função que move dados paginados entre dois buffers de rede perdia uma marca que indica que os dados são compartilhados com algo fora do buffer, como a cópia em cache de um arquivo. O código IPsec ESP verifica essa marca para decidir se pode descriptografar no próprio local. Com a marca perdida, ele descriptografava sobre os dados do arquivo em cache. A correção repassa a marca.
Pense na escalada local de privilégios assim: ela não coloca um invasor no seu servidor, ela transforma um ponto de apoio pequeno em controle total. Combinada com uma falha que dá um ponto de apoio, como as do PHP, ela completa a invasão.
Pertence à mesma família das falhas Dirty Frag que a Red Hat tratou em seu boletim RHSB-2026-003, que lista o CVE-2026-43284 (IPsec ESP) e o CVE-2026-46300 como os que afetam produtos da Red Hat. Hosts corrigidos antes para o Dirty Frag ainda precisam desta correção (visão deste site).
Exploração e a cadeia do PHP
A entrada do catálogo da CISA diz que a falha "can be chained with CVE-2026-109618 and CVE-2026-109619 to implant PHP webshells and run commands as root" (pode ser encadeada com o CVE-2026-109618 e o CVE-2026-109619 para implantar webshells PHP e executar comandos como root). Essas duas falhas do PHP foram adicionadas ao catálogo KEV em 26 de outubro com prazo em 29 de outubro. A CISA não publicou quem foi alvo nem como.
Uma empresa de segurança relatou em 26 de outubro que invasores obtiveram root em 25 servidores, principalmente equipamentos de firewall expostos à internet de um fabricante não nomeado, combinando as duas falhas do PHP com essa falha do kernel. A SecurityWeek repetiu o relato em 28 de outubro. O relato diz que as falhas do PHP deram execução de código como uma conta restrita do servidor web, e que a falha do kernel foi usada para obter root. Diz que os dispositivos afetados abrangem EUA, Japão, Taiwan e Coreia do Sul. A empresa diz que informou o fabricante e não nomeou o fabricante nem as versões. A redação difere entre os relatos (24 firewalls mais um servidor de gerenciamento, ou 25 no total), e este site não conseguiu verificar os dados subjacentes. Trate os números como o relato de uma empresa, e não como um fato estabelecido.
Se você opera um equipamento com interface web de gerenciamento, pergunte ao fabricante se o firmware é afetado e não deixe interfaces de gerenciamento abertas à internet (visão deste site).
Medidas provisórias se você ainda não puder atualizar
O boletim da Red Hat diz para verificar se os módulos esp4 e esp6 estão em uso (lsmod | grep -E 'esp4|esp6') e, se o IPsec não for necessário, bloqueá-los. Isso quebra o IPsec, incluindo muitas configurações de VPN, então confirme primeiro. A Red Hat também descreve uma opção mais restrita que limita os namespaces de usuário sem privilégios, o que pode afetar contêineres sem root e navegadores em sandbox. O Ubuntu aponta para o mesmo procedimento que publicou para o Dirty Frag. Nenhum dos dois fornecedores apresenta isso como substituto do kernel corrigido. Siga as páginas do fornecedor para os passos exatos e remova o bloqueio depois de iniciar com o kernel corrigido.
O que ainda não se sabe
| Item | Situação |
|---|---|
| Quem a está explorando | A CISA diz que há exploração ativa, mas não deu detalhes. O relato da empresa de segurança não foi verificado |
| O fabricante de firewall do relato | Não nomeado pela empresa |
| Código de exploração público | Relatado por outros; este site não o verificou e não o linka |
| Avaliação do NVD | Não confirmada por este site no momento da redação |
| Outros kernels | Fabricantes de equipamentos e imagens de nuvem podem publicar correções depois das distribuições |
Fontes
Consultadas em 29 de outubro de 2026 (dados e alerta do catálogo da CISA, o registro CVE, Ubuntu, Red Hat, Debian).
- CISA, "CISA Adds Two Known Exploited Vulnerabilities to Catalog" (28 de outubro de 2026) — cisa.gov / Known Exploited Vulnerabilities Catalog — cisa.gov
- Registro CVE Program CVE-2026-46300 (Linux kernel CNA, com versões corrigidas da Red Hat) — cve.org
- NVD, "CVE-2026-46300" — nvd.nist.gov
- Ubuntu, "CVE-2026-46300" — ubuntu.com / "Dirty Frag Linux vulnerability fixes available" — ubuntu.com
- Red Hat, "CVE-2026-46300" — access.redhat.com / "Dirty Frag (RHSB-2026-003)" — access.redhat.com
- Debian security tracker, "CVE-2026-46300" — security-tracker.debian.org
- O relato de uma empresa de segurança sobre a cadeia PHP2Shell contra firewalls (26 de outubro de 2026) — o relato (em inglês)
- SecurityWeek, "China-Linked Hackers Exploit PHP2Shell to Root Firewalls" (28 de outubro de 2026) — securityweek.com
Histórico de atualizações
2026-10-29: Primeira versão, com base na inclusão no KEV da CISA em 28 de outubro, no registro CVE e nas informações do Ubuntu, da Red Hat e do Debian.
Leia em seguida
- A metade PHP da cadeia: Falhas do PHP CVE-2026-109618 e CVE-2026-109619
- Verificar um servidor: Como verificar se seu site ou servidor foi comprometido
- Decidir a prioridade: Decidir o que corrigir primeiro: CVSS, EPSS e KEV
- Quando uma vulnerabilidade é anunciada: Guia de correção de CVEs
- Termos: O que é RCE (execução remota de código) / O que é CVSS