PHP2Shell-keten: kernellek Fragnesia levert rootrechten

Het Amerikaanse CISA heeft woensdag een Linux-kernellek toegevoegd aan zijn lijst van actief misbruikte kwetsbaarheden, met een opvallende toelichting. Aanvallers koppelen dit lek aan de twee PHP-kwetsbaarheden die vorige week meerdere Nederlandse overheidssites offline haalden. Het eindresultaat is een webshell met rootrechten.

Wat CISA meldt

CVE-2026-46300 staat sinds 28 oktober in de Known Exploited Vulnerabilities-catalogus. In de beschrijving schrijft CISA dat het lek "chained with CVE-2026-109618 and CVE-2026-109619" wordt gebruikt om PHP-webshells te plaatsen en commando's als root uit te voeren. Die twee CVE's zijn PHP2Shell, de kwetsbaarheden waarvoor het NCSC op 21 oktober een alert uitbracht en waarvoor onder meer MijnOverheid, DigiD en de Tweede Kamer hun sites preventief uitzetten.

De termijn die CISA aan Amerikaanse federale diensten stelt, valt op. Die staat op 31 oktober, drie dagen na opname. Voor het Brotli-lek CVE-2026-111497, dat een dag eerder in de catalogus kwam, geldt 10 november. Ook zet CISA bij de kernelbug het veld voor forensische triage op "yes", terwijl dat bij Brotli op "no" staat.

Hoe een netwerkbug root oplevert

Red Hat noemt de kwetsbaarheid Fragnesia en beschrijft hem in zijn CVE-pagina als een variant van Dirty Frag in het ESP/XFRM-subsysteem, met rechtenverhoging als gevolg. De score is 7,8 op CVSS 3.1 en de ernst "Important", omdat lokale toegang nodig is.

De fout zit in skb_try_coalesce(), de functie die ontvangen netwerkpakketten samenvoegt. Die kon fragmenten van het ene pakket aan het andere hangen zonder de markering SKBFL_SHARED_FRAG mee te nemen. ESP-invoer gebruikt juist die markering om te beslissen of skb_cow_data() overgeslagen mag worden. Ontbreekt de markering, dan ontsleutelt ESP ter plekke over fragmenten die door de page cache worden gedekt.

Volgens Red Hat kan een lokale gebruiker met weinig rechten daardoor "arbitrary bytes into the page cache of read-only files" schrijven, systeembestanden inbegrepen. Wie zo een bevoorrecht binair bestand overschrijft, heeft root. Dat verklaart de combinatie: PHP2Shell levert de eerste, ongeprivilegieerde voet aan de grond, de kernelbug maakt daar beheerdersrechten van.

Voor wie geldt dit

De fix zelf is niet nieuw. Red Hat zet de publicatiedatum op 13 mei 2026, Ubuntu op 23 mei en kwalificeert het lek als High. Wie zijn kernel sinds het voorjaar netjes heeft bijgewerkt, is klaar. Het risico zit bij machines die sindsdien niet zijn herstart of bijgewerkt, en dat zijn vaak precies de webservers waar ook PHP op draait.

Volgens de Debian-tracker is het lek verholpen vanaf 6.1.174-1 in bookworm (DSA-6306-1) en 6.12.90-1 in trixie (DSA-6295-1); bullseye kreeg DLA-4606-1 en DLA-4607-1. De huidige securityversies staan daar op 6.1.190-1 en 6.12.113-1.

Wat je nu kunt doen

• Vergelijk je kernelversie met de fixversies van je distributie. Een kernelupdate werkt pas na een herstart, dus uname -r is hier de controle, niet de pakketlijst.
• Werk PHP bij als dat nog niet gebeurd is. Het NCSC-advies uit de alert van 23 oktober is onveranderd: installeer de updates op websites, applicaties en netwerkapparatuur, of neem contact op met je hostingpartij.
• Kun je niet patchen, dan is CISA's instructie om de leveranciersmitigaties te volgen of het product niet langer te gebruiken.

Het NCSC heeft zijn PHP-alert sinds 23 oktober 15:45 niet bijgewerkt en noemt deze keten nog niet. Een Nederlands advies over de kernelkant is er dus nog niet.