Fragnesia: arranca un kernel que corrija CVE-2026-46300
CISA añadió el fallo del kernel Linux CVE-2026-46300 al catálogo de explotados el 28 de octubre de 2026. La cobertura lo describe usado después de un acceso por PHP para ejecutar como root.
CVE-2026-46300 es un fallo local del kernel Linux, apodado Fragnesia en la cobertura de octubre de 2026. NVD lo puntúa con 7,8. No es un gusano remoto por sí solo. La urgencia viene de dónde apareció: en equipos que ya habían sido comprometidos.
CISA lo metió en el catálogo de vulnerabilidades explotadas el 28 de octubre de 2026, con fecha límite federal el 31 de octubre, y lo marcó para triaje forense.
Qué cambia el fallo del kernel
Las descripciones públicas dicen que, al fusionar búferes de red, el kernel pierde una marca que indica que un fragmento es compartido. Un procesamiento posterior puede entonces escribir en páginas que solo debían leerse. La debilidad se registra como CWE-456. El resultado práctico que nombra CISA es elevación de privilegios.
Esta nota se queda en esa descripción. El parche es una actualización del kernel. Reproducir el fallo no le sirve a quien tiene que agendar el reinicio.
Por qué apareció junto a PHP2Shell
La ficha de CISA dice que el fallo se está encadenando con CVE-2026-109618 y CVE-2026-109619, los de PHP2Shell, para dejar un web shell en PHP y luego ejecutar como root. Un reporte del 29 de octubre describió esa cadena en cortafuegos cuyo PHP era 8.0.30, una rama que PHP ya no parchea.
El orden importa para la cola de trabajo. Un equipo que sigue con PHP sin corregir es aquel donde este fallo del kernel se vuelve un segundo paso. Parchear solo el kernel deja la puerta de entrada. Parchear solo PHP deja un paso local si otra cosa consigue un shell.
Qué máquinas necesitan el reinicio
Cualquier Linux con un kernel que no traiga la corrección, sobre todo si expone PHP u otro servicio remoto. En la cobertura hay aparatos y cortafuegos, no solo servidores de propósito general. Una imagen de proveedor que fija un kernel viejo no se mueve cuando lo hace la distribución.
A las agencias civiles federales de Estados Unidos se les dio el 31 de octubre de 2026. Esa fecha es un límite útil para cualquiera que tuviera el equipo en internet esta semana.
Instala el kernel corregido y arráncalo
Toma el kernel de la actualización de seguridad de tu distribución, instálalo y reinicia en él. Confirma la versión en ejecución con la herramienta en la que ya confías, no con la lista de paquetes de un equipo que no has reiniciado. Un paquete instalado y un kernel en marcha son hechos distintos.
En los equipos de la cadena, pasa también PHP a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, y trata un web shell encontrado después como un incidente: conserva registros, rota credenciales que el proceso pudiera leer y reconstruye en vez de limpiar archivos en el sitio si no puedes dar cuenta de cada cambio.
Cobertura de la ficha KEV de CISA para CVE-2026-46300, 29 de octubre de 2026, y el registro de NVD.
https://cyberexperts.com/2026-10-29-linux-fragnesia-php2shell-kev/
Preguntas frecuentes
¿Fragnesia es remoto, como los fallos de PHP?
No. CVE-2026-46300 es local. Los reportes lo describen como el segundo paso después de un acceso por PHP2Shell, que es la parte remota. Los dos necesitan parche.
¿Instalar el paquete termina el trabajo?
No, hasta que la máquina arranque ese kernel. Comprueba la versión que corre después del reinicio, no solo la base de paquetes.
¿Cuál es la fecha de CISA?
La ficha se añadió el 28 de octubre de 2026. La fecha límite para agencias civiles federales de Estados Unidos es el 31 de octubre de 2026, con triaje forense.