--- title: "Fragnesia, Celah Kernel Linux yang Dirantai dengan PHP2Shell" description: "Fragnesia (CVE-2026-46300) masuk katalog KEV CISA dan dipakai bersama PHP2Shell untuk meraih root. Ini versi kernel perbaikan per distro dan mitigasinya." url: "https://nivelva.com/insight/fragnesia-cve-2026-46300-kernel-linux" category: "Keamanan/Cyber Security" tags: ["fragnesia","cve-2026-46300","kernel linux","php2shell","eskalasi hak akses"] author: "Lucas Tan" published: "2026-11-12T16:25:00+07:00" updated: "2026-11-12T16:25:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Fragnesia, Celah Kernel Linux yang Dirantai dengan PHP2Shell > **Jawaban singkat:** Fragnesia (CVE-2026-46300) adalah celah eskalasi hak akses lokal di kernel Linux yang masuk katalog KEV CISA pada 28 Oktober 2026. Menurut CISA, celah ini dirantai dengan PHP2Shell untuk menjalankan perintah sebagai root. Perbaikannya ada di update kernel distro, lalu server wajib reboot. Bayangkan sebuah VPS yang menjalankan beberapa situs PHP. Penyerang masuk lewat celah PHP dan mendapat akses sebagai user web server. Biasanya kerusakan berhenti di situ, karena user itu tidak bisa menyentuh file sistem. Dengan Fragnesia, langkah berikutnya menjadi mungkin: dari user biasa naik menjadi root. Fragnesia adalah nama untuk CVE-2026-46300, celah eskalasi hak akses lokal di kernel Linux. CISA memasukkannya ke katalog Known Exploited Vulnerabilities (KEV) pada 28 Oktober 2026 karena ada bukti eksploitasi aktif. Menurut CISA, celah ini dirantai dengan PHP2Shell untuk menanam web shell PHP dan menjalankan perintah sebagai root. | Data | Nilai | |---|---| | ID | CVE-2026-46300 | | Tingkat bahaya | Tinggi (CVSS 7.8) | | Produk terdampak | Kernel Linux (XFRM ESP-in-TCP) | | Versi terdampak | Kernel tanpa patch 13 Mei 2026 | | Versi aman | Update kernel dari distro | | Status | Dieksploitasi, masuk KEV CISA | | Diumumkan | 28 Oktober 2026 | | Detail | https://nvd.nist.gov/vuln/detail/CVE-2026-46300 | ## Celah lama yang kembali jadi sorotan Fragnesia bukan celah baru. Celah ini diungkap pada 13 Mei 2026 oleh William Bowling dari V12 Security, lengkap dengan proof-of-concept publik dan patch kernel pada hari yang sama. Skor CVSS 3-nya 7,8, kategori tinggi. Red Hat menilainya Important, bukan Critical, karena penyerang harus sudah punya akses lokal. Letak masalahnya di subsistem XFRM ESP-in-TCP, bagian kernel yang menangani paket IPsec yang dibungkus TCP. Menurut penjelasan Tenable, saat kernel menggabungkan fragmen socket buffer, penanda bahwa sebuah halaman memori sedang dipakai bersama ikut hilang. Akibatnya, halaman yang berasal dari cache file bisa ditulisi. Proof-of-concept publiknya mengubah `/usr/bin/su` di page cache, bukan di disk, lalu memakainya untuk mendapatkan root. Tenable juga mencatat bahwa eksploitasi ini memanfaatkan user namespace dan network namespace, yang aktif bawaan di banyak distribusi. Tidak perlu race condition, jadi eksploitasinya cukup andal. Fragnesia satu kelas dengan Dirty Frag yang muncul lebih dulu tahun ini, mirip pola [Dirty Pipe](https://nivelva.com/insight/dirty-pipe-cve-2022-0847-celah-root-kernel-linux) di 2022: menulis ke page cache yang seharusnya hanya bisa dibaca. Patch untuk Dirty Frag tidak menutup Fragnesia. ## Bagaimana rantai serangan dengan PHP2Shell? Fragnesia butuh akses lokal, dan di sinilah PHP2Shell berperan. PHP2Shell adalah sebutan untuk CVE-2026-109618 dan CVE-2026-109619, dua celah PHP yang bisa berujung eksekusi kode tanpa login. Detailnya sudah dibahas di [PHP2shell, celah PHP yang bikin pemilik hosting waspada](https://nivelva.com/insight/php2shell-celah-php-hosting). Urutannya kira-kira begini. Penyerang memakai PHP2Shell untuk menanam web shell dan menjalankan kode sebagai user web server. Setelah itu Fragnesia dipakai untuk naik ke root. Menurut laporan Dream Security yang dikutip BleepingComputer, rantai ini sudah dipakai membobol lebih dari dua lusin server di beberapa negara. CISA sendiri belum membagikan detail serangannya. Artinya, menambal PHP saja belum cukup. Celah web aplikasi berikutnya, entah dari plugin, framework, atau panel, bisa menjadi pintu masuk baru, dan kernel yang belum ditambal tetap memberi jalan ke root. ## Versi kernel perbaikan per distro Tabel ini merangkum versi paket kernel yang sudah memuat perbaikan, diambil dari pelacak keamanan masing-masing distro per 12 November 2026. Versi yang lebih baru dari angka ini juga aman. | Distro | Versi paket kernel perbaikan | Sumber | |:--|:--|:--| | Ubuntu 26.04 LTS | linux 7.0.0-22.22 | Ubuntu CVE tracker | | Ubuntu 24.04 LTS | linux 6.8.0-124.124 | Ubuntu CVE tracker | | Ubuntu 22.04 LTS | linux 5.15.0-181.191 | Ubuntu CVE tracker | | Debian 13 (trixie) | 6.12.90-1 (DSA-6295-1) | Debian security tracker | | Debian 12 (bookworm) | 6.1.174-1 (DSA-6306-1) | Debian security tracker | | AlmaLinux 9 | kernel-5.14.0-611.54.4.el9_7 | Tenable | | AlmaLinux 8 | kernel-4.18.0-553.124.2.el8_10 | Tenable | | RHEL 8, 9, 10 | Lihat RHSB-2026-003 | Red Hat | Menurut Tenable, Amazon Linux tidak terdampak karena tidak membawa modul espintcp. Jangan lupa server yang menjalankan Docker atau container lain. Container berbagi kernel dengan host, jadi yang perlu ditambal adalah kernel host, bukan image container. Hal yang sama berlaku untuk VPS: kernel yang kamu lihat lewat `uname -r` di dalam VPS berbasis KVM adalah tanggung jawabmu sendiri untuk diperbarui. ## Langkah menambal di server Mulailah dengan melihat kernel yang sedang berjalan lewat `uname -r`, lalu bandingkan dengan tabel di atas. Ingat, yang menentukan adalah kernel yang sedang aktif, bukan paket yang terpasang. Banyak server sudah mengunduh kernel baru tetapi belum pernah di-reboot. Di Ubuntu dan Debian, jalankan `sudo apt update && sudo apt full-upgrade`, lalu reboot. Di AlmaLinux, Rocky, atau RHEL, jalankan `sudo dnf update kernel`, lalu reboot. Setelah server hidup lagi, cek ulang `uname -r`. Bila kamu memakai layanan livepatch dari vendor, pastikan patch untuk CVE-2026-46300 sudah tercantum aktif. Supaya patch berikutnya tidak tertinggal, atur [update keamanan otomatis di Ubuntu](https://nivelva.com/insight/cara-mengaktifkan-update-keamanan-otomatis-ubuntu) dan jadwalkan reboot rutin. Bila reboot belum bisa dilakukan, Tenable menyebut mitigasi sementara yang sama dengan Dirty Frag: mengeluarkan modul `esp4`, `esp6`, dan `rxrpc` lalu memblokirnya lewat file di `/etc/modprobe.d/`. Hati-hati, `esp4` dan `esp6` dipakai IPsec. Server yang menjalankan VPN berbasis IPsec akan kehilangan koneksi VPN-nya bila modul ini diblokir. Cek dulu dengan `lsmod | grep -E 'esp4|esp6|rxrpc'` dan pastikan tidak ada layanan yang bergantung padanya. Setelah kernel ditambal, periksa juga jejak serangan. Cari file PHP asing di folder web, akun atau kunci SSH baru, dan cron job yang tidak kamu kenal. Kalau ada tanda web shell, anggap server sudah pernah dikuasai root dan pertimbangkan membangun ulang dari backup bersih. ## Ringkasan Fragnesia adalah celah kernel lama dengan dampak baru: ketika dirantai dengan PHP2Shell, server web bisa jatuh sampai level root. Tambal PHP dan kernel bersama-sama, reboot agar kernel baru benar-benar aktif, lalu cek tanda kompromi. Untuk menentukan urutan prioritas patch lain, gunakan [katalog KEV CISA](https://nivelva.com/insight/katalog-kev-cisa-prioritas-patch) sebagai patokan. ## Sumber - - - - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/fragnesia-cve-2026-46300-kernel-linux Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com