Взлом серверов через Linux: что известно об атаке Fragnesia и PHP2Shell

Свежая история о «взломе Linux» оказалась атакой в несколько этапов: злоумышленники использовали ошибки в PHP, а затем уязвимость ядра Linux, чтобы получить максимальные права на устройствах. В центре расследования — корпоративные межсетевые экраны и серверы управления. Объясняем, что известно на 30 октября и кому стоит проверить обновления.

Что произошло: 25 взломанных серверов

Dream Research сообщила 26 октября об обнаруженных следах кампании против 25 серверов в США, Японии, Тайване и Южной Корее. В обновлённом 29 октября отчёте исследователи уточнили: речь идёт об устройствах PAN-OS компании Palo Alto Networks, включая межсетевые экраны и серверы управления. Три затронутые системы они связали со средой организации, имеющей отношение к правительству США.

Это не только заявление сторонней лаборатории. Unit 42 — подразделение Palo Alto Networks — 29 октября сообщило, что независимо проверило инструменты атакующего и подтвердило описанные результаты. Производитель указал на эксплуатацию PHP2Shell через интерфейсы управления PAN-OS, доступные из интернета.

При чём здесь Linux и что такое Fragnesia

Fragnesia — название уязвимости CVE-2026-46300 в ядре Linux. Согласно описанию в трекере безопасности Debian, ошибка связана с обработкой сетевых буферов: при их объединении теряется признак разделяемых фрагментов. Последующая обработка может изменить данные, связанные с файловым кешем. Для читателя главное — это ошибка внутри ядра, а не взлом учётной записи на каком-то сайте.

В описанной Dream цепочке Fragnesia помогала повысить права после первоначального проникновения через PHP. Исследователи также зафиксировали извлечение учётных данных и получение сведений о внутреннем каталоге организации. Полный масштаб последующих действий они установить не смогли.

Здесь важна связка уязвимостей: одна открывает вход, другая расширяет возможности уже попавшего внутрь атакующего. Это не свидетельство того, что любой компьютер с Linux можно взломать одним и тем же способом.

Как работала цепочка — без технического жаргона

Первый этап связан с PHP2Shell — двумя уязвимостями PHP, CVE-2026-109618 и CVE-2026-109619. Unit 42 относит их к удалённому выполнению кода и приводит оценку серьёзности 9,2 по CVSS 4.0. Проще говоря, уязвимый веб-компонент мог выполнять команды, поступающие извне.

Второй этап — повышение привилегий до root через ошибку ядра. Root — административный уровень доступа в Linux. В контексте этой истории различие между первоначальным доступом и такими полномочиями объясняет, почему исследователи рассматривают несколько ошибок как одну цепочку атаки.

29 октября BleepingComputer сообщило о предупреждении CISA: ведомство внесло Fragnesia в каталог известных эксплуатируемых уязвимостей и отметило возможность её сочетания с PHP2Shell. То есть обсуждается уже практическое применение, а не только лабораторная демонстрация.

Были ли эти атаки полностью автоматическими

Dream обнаружила в инфраструктуре инструменты, связанные с ИИ. Но исследователи отдельно подчеркнули: прямых доказательств, что именно ИИ написал эксплойт или последующие скрипты, у них нет. Называть кампанию полностью автономной атакой нейросети по этим данным нельзя.

Для оценки риска эта оговорка полезна. Наличие ИИ-инструмента рядом с материалами атаки ещё не отвечает на вопросы, кто принимал решения, какой код был сгенерирован и сколько работы выполнил человек. Мы не приписываем нейросетям действия, которые расследование не подтвердило.

Кого касается новость

Прежде всего — администраторов затронутых устройств PAN-OS с открытым наружу интерфейсом управления. По данным производителя, по умолчанию этот интерфейс не должен быть доступен из интернета. Компания рекомендует убрать публичный доступ, разрешить управление только с доверенных внутренних адресов и установить доступные исправления PAN-OS. Актуальные версии и условия нужно проверять по бюллетеню производителя, а не по общему слову «Linux».

Пользователям других дистрибутивов важно смотреть статус именно своего пакета ядра. В трекере Debian для CVE-2026-46300 уже указаны исправленные версии: например, для bookworm — 6.1.174-1, для trixie — 6.12.90-1. Это номера пакетов соответствующих веток Debian; переносить их как универсальное правило на Ubuntu, другие системы или сетевые устройства нельзя.

Что это означает для владельца сайта

Если сайт работает на обычном хостинге, полезно отправить поддержке конкретный запрос: «Проверены ли наши серверы на CVE-2026-109618, CVE-2026-109619 и CVE-2026-46300, установлены ли исправления для используемых версий?» Такой вопрос гораздо точнее, чем «у вас безопасный Linux?».

Владелец сайта может не управлять ни системным ядром, ни сетевым оборудованием провайдера. Поэтому наличие обновлений в административной панели сайта само по себе не отвечает на вопрос о состоянии всей инфраструктуры. Нужна информация от того, кто обслуживает соответствующий компонент.

Наш вывод: новость серьёзная, но её масштаб следует описывать точно. Есть подтверждённая кампания против определённых систем и сочетание уязвимостей, для которых доступны исправления. Заявление «Linux целиком взломали» скрывает самое полезное — перечень затронутых компонентов, условия атаки и действия, которые рекомендует производитель.

Читайте также: что произошло при недавнем взломе корпоративных систем Anthropic.

Материал подготовлен 30 октября 2026 года по отчётам Dream Research, Unit 42, трекеру Debian и публикации BleepingComputer. Число затронутых систем относится к описанной исследователями кампании, а не ко всем инцидентам в мире. Обложка — концептуальная ИИ-иллюстрация.