Fragnesia (CVE-2026-46300) : du webshell au root, la deuxième marche

Que fait concrètement la faille Fragnesia ?

Des défauts logiques dans le traitement des fragments de page partagés, lors de la fusion des `skb` par le sous-système ESP-in-TCP, permettent d’injecter des octets choisis dans le cache de pages de binaires clés via une séquence `splice` + ULP.

Le patch noyau date du 13 mai 2026, la divulgation du 14. CVSS 7.8. Une preuve de concept publique existe et fonctionne sur Ubuntu. Les rapports divergent sur l’exploitation en environnement réel : certains éditeurs la signalent, d’autres n’en observent pas. Les correctifs « Dirty Frag » précédents ne couvrent pas cette faille ; la mise en liste noire du module protège des deux.

Une faille « locale » veut-elle dire « sans risque » ?

Une élévation de privilèges locale n’est jamais la première marche d’une attaque. C’est la seconde. La première, c’est l’exécution de code par la façade web : une faille Magento non corrigée, une extension WordPress qui accepte un fichier PHP, un webshell déposé trois semaines plus tôt.

Enchaînées, les deux transforment un défaut applicatif en compromission complète du serveur : root, persistance, accès aux autres sites hébergés sur la même machine.

Qu’est-ce qu’un filtre à l’entrée peut, et ne peut pas, faire ?

Soyons clairs : AtriShield ne corrige pas le noyau. Aucun filtre placé à l’entrée ne peut empêcher un processus déjà présent sur la machine d’exploiter une faille locale. Cette faille-là se règle par la mise à jour de votre distribution, point.

Ce qu’un filtre à l’entrée fait, c’est supprimer la première marche. Sans exécution de code initiale via l’application web, l’élévation locale n’a pas de point de départ. C’est précisément pourquoi les patchs virtuels des failles applicatives comptent autant : ils cassent la chaîne là où elle commence.

Que faire dès aujourd’hui ?

Appliquez le noyau corrigé fourni par votre distribution, et redémarrez : un noyau corrigé non chargé ne protège de rien.

En attendant la fenêtre de redémarrage, la mise en liste noire du module concerné est la mesure d’atténuation recommandée.

Réduisez la surface web en parallèle : c’est la partie du problème sur laquelle vous pouvez agir immédiatement, sans redémarrer quoi que ce soit.