Nowa luka Fragnesia w Linuxie. Administratorzy powinni pilnie zaktualizować jądro

W jądrze Linux wykryto nową podatność o wysokim poziomie ryzyka, oznaczoną jako CVE-2026-46300, nazwaną Fragnesia. Pozwala ona lokalnemu, nieuprzywilejowanemu atakującemu na uzyskanie pełnych uprawnień roota. Dystrybucje Linuksa już publikują łatki, a administratorzy powinni jak najszybciej zaktualizować jądro w swoich systemach.

Czym jest Fragnesia i jak działa

Fragnesia to błąd logiczny w podsystemie XFRM ESP-in-TCP jądra Linux. Jak wyjaśniają badacze z firmy Zellic, którzy odkryli podatność, umożliwia ona zapis dowolnych bajtów do pamięci podręcznej stron (page cache) plików tylko do odczytu. Atakujący może w ten sposób nadpisać w pamięci plik binarny, na przykład /usr/bin/su, i uzyskać powłokę z uprawnieniami roota. Co istotne, exploit nie wymaga żadnego wyścigu (race condition) – jest niezawodny i stosunkowo prosty do przeprowadzenia.

Podatność należy do klasy Dirty Frag, która została ujawniona wcześniej w maju 2026 roku. Różnica polega na tym, że Dirty Frag łączył dwie oddzielne luki, podczas gdy Fragnesia jest pojedynczym błędem w tym samym obszarze kodu. Jak skomentował William Bowling, główny badacz Zellic:

„Fragnesia jest członkiem klasy podatności Dirty Frag. To osobny błąd w ESP/XFRM, który otrzymał własną łatkę. Jednak znajduje się w tej samej powierzchni ataku, a sposób łagodzenia jest taki sam jak dla Dirty Frag.”

Które systemy są zagrożone

Luka dotyczy wszystkich wersji jądra Linux wydanych przed 13 maja 2026 roku. Oznacza to, że podatne są praktycznie wszystkie główne dystrybucje, w tym używane w polskich firmach i instytucjach: Red Hat Enterprise Linux, Ubuntu, Debian, SUSE Linux Enterprise Server oraz ich pochodne. Atak wymaga jednak lokalnego dostępu do systemu – nie może być przeprowadzony zdalnie. Mimo to w środowiskach wielodostępnych, serwerach hostingowych czy infrastrukturze chmurowej, gdzie użytkownicy mają konta shellowe, ryzyko jest realne.

Badacze opublikowali działający kod proof-of-concept, co znacznie obniża próg wejścia dla potencjalnych napastników. W praktyce oznacza to, że każdy, kto ma już dostęp do konta użytkownika w podatnym systemie, może w kilku krokach podnieść swoje uprawnienia do roota.

Jak się zabezpieczyć – aktualizacja i tymczasowe obejście

Podstawowym i zalecanym działaniem jest jak najszybsze zastosowanie aktualizacji jądra dostarczonej przez dystrybucję. Administratorzy powinni śledzić komunikaty swoich dostawców Linuksa i wdrożyć łatkę oznaczoną jako CVE-2026-46300. W przypadku systemów, których nie można od razu zrestartować, dostępne jest tymczasowe rozwiązanie łagodzące.

Polega ono na usunięciu podatnych modułów jądra: esp4, esp6 oraz rxrpc. Można to zrobić za pomocą następujących poleceń (wymagających uprawnień roota):

rmmod esp4 esp6 rxrpc
printf 'install esp4 /bin/falseninstall esp6 /bin/falseninstall rxrpc /bin/falsen' > /etc/modprobe.d/dirtyfrag.conf

Należy jednak pamiętać, że to rozwiązanie ma skutki uboczne – przestaną działać rozproszone systemy plików AFS oraz sieci VPN oparte na IPsec. Dlatego powinno być stosowane tylko w ostateczności i na czas niezbędny do zaplanowania pełnej aktualizacji.

Szerszy kontekst – rosnąca fala lokalnych eskalacji uprawnień

Fragnesia to nie jedyna poważna luka w Linuxie ujawniona w ostatnim czasie. W kwietniu 2026 roku załatano podatność Pack2TheRoot w demonie PackageKit, która pozostawała niewykryta przez dekadę. Z kolei w maju amerykańska agencja CISA dodała do swojego katalogu aktywnie wykorzystywaną lukę Copy Fail, nakazując federalnym agencjom zabezpieczenie systemów w ciągu dwóch tygodni. Te wydarzenia pokazują, że lokalne eskalacje uprawnień w Linuxie stały się jednym z głównych wektorów ataku wykorzystywanych zarówno przez cyberprzestępców, jak i zaawansowane grupy APT.

Jak wskazują analitycy Cisco Talos w swoim raporcie rocznym, priorytetem dla obrońców powinno być łatkowanie podatności mających największą ekspozycję – czyli tych, które są dostępne z zewnątrz lub umożliwiają eskalację uprawnień. Fragnesia idealnie wpisuje się w tę kategorię.

Co powinien zrobić administrator

Przede wszystkim sprawdzić wersję jądra w swoich systemach. Jeśli jest starsza niż 13 maja 2026 roku, należy niezwłocznie zaplanować aktualizację. W środowiskach produkcyjnych warto przetestować łatkę na systemach stagingowych, ale nie odkładać wdrożenia na długo. W przypadku serwerów, na których użytkownicy mają dostęp shellowy (np. hosting współdzielony, serwery deweloperskie), ryzyko jest szczególnie wysokie i aktualizacja powinna być wykonana w trybie pilnym.

Dodatkowo warto przejrzeć polityki zarządzania kontami użytkowników – ograniczenie liczby osób z dostępem do shella oraz stosowanie zasady najmniejszych uprawnień zmniejsza powierzchnię ataku. W dłuższej perspektywie administratorzy powinni śledzić komunikaty bezpieczeństwa swoich dystrybucji i wdrażać łatki jądra w ramach regularnego cyklu utrzymaniowego.

Podatność Fragnesia to kolejne przypomnienie, że nawet dobrze zabezpieczony system może zostać przejęty, jeśli atakujący uzyska lokalne konto. Aktualizacje jądra to nie opcja, ale konieczność.