Fehler in der Netzwerkverarbeitung Angreifer nutzen Linux-Schwachstelle zur Rechteausweitung

Anbieter zum Thema

cidaas by Widas ID GmbH

secunet Security Networks AG

Eine Sicherheitslücke im Linux-Kernel kann dazu führen, dass zwischen­gespeicherte Dateiinhalte überschrieben werden. Die CISA führt sie als nachweislich ausgenutzt. Korrekturen stehen für mehrere Kernel-Zweige bereit.

Cyberangreifer können eine Sicherheitslücke im Linux-Kernel nutzen, um nach einem Einbruch ihre Rechte auf betroffenen Systemen auszuweiten. Die als „Fragnesia“ bezeichnete Schwach­stelle betrifft die Verarbeitung von Netzwerkdaten. Unter bestimmten Bedingungen können dabei Speicherbereiche überschrieben werden, die zwischengespeicherte Dateiinhalte enthalten. Für die Ausnutzung von EUVD-2026-31535 / CVE-2026-46300 (CVSS-Score 7.8, EPSS-Score 15.72 sind laut dem Bewertungsvektor lokaler Zugriff und geringe Benutzerrechte erforderlich. Eine Benutzerinteraktion ist nicht nötig. Die Sicherheitslücke ist damit kein direkter Einstiegspunkt für Angreifer aus dem Internet, kann aber einen bereits erreichten Zugriff erheblich verschärfen. Der Linux-Kernel bildet den Kern zahlreicher Betriebssysteme und steuert unter anderem Speicherverwaltung, Hardwarezugriffe und Netzwerk­kom­mu­ni­kation. Umso gravierender ist, dass die Schwachstelle bereits aktiv ausgenutzt wird.

Use-after-free in Linux-Kernel nf_tables gibt Root-Zugrif

Öffentlicher Exploit für Linux-Kernel-Lücke CVE-2026-23111

Fehlende Markierung gefährdet Dateiinhalte

Laut der Fehlerbeschreibung im Kernel-Projekt geht beim Zusammenführen von TCP-Empfangsdaten (Transmission Control Protocol) eine wichtige Markierung verloren. Diese kennzeichnet Speicherfragmente, die mit anderen Komponenten geteilt werden oder auf dem Dateizwischenspeicher, dem sogenannten Page Cache, beruhen. Ohne die Markierung kann die nachfolgende ESP-Verarbeitung (Encapsulating Security Payload), die zur IPsec-Protokoll­familie (Internet Protocol Security) gehört, diese Speicherbereiche fälschlich als direkt beschreibbar behandeln. Die Entschlüsselung kann dadurch zwischengespeicherte Dateiinhalte überschreiben. Der bereitgestellte Patch sorgt dafür, dass die Markierung erhalten bleibt. Der EUVD-Eintrag nennt Linux 3.9 als betroffene Version und führt Korrekturen für mehrere spätere Kernel-Zweige auf.

Der ursprüngliche Patch stammt von William Bowling und trägt das Autorendatum 13. Mai 2026. Er wurde am 14. Mai in den Upstream-Entwicklungsstand übernommen. Die vorliegenden Rückportierungen auf ältere Kernel-Zweige sind vom 23. Mai. Die CISA nahm die Sicherheitslücke am 28. Oktober 2026 in ihren Katalog bekannter ausgenutzter Sicherheitslücken auf.

Mögliche Zero Days

Zwei kritische PHP-Schwachstellen bedrohen Millionen Webseiten

Bei Angriffen auf Firewall-Server eingesetzt

Konkrete Hinweise auf den Einsatz liefert ein Bericht der Sicherheitsfirma Dream. Nach Angaben der Forscher nutzten Angreifer zunächst die als „PHP2Shell“ bezeichneten Sicherheitslücken zum Einbruch und anschließend Fragnesia zur Rechteausweitung. Dream berichtet von 25 übernommenen Servern in den USA, Japan, Taiwan und Südkorea. Das betroffene Firewall-Produkt benennt das Unternehmen nicht. Wann Fragnesia erstmals ausgenutzt wurde, geht aus dem Bericht nicht hervor.

PHP2Shell

Wer jetzt handelt, kommt noch vor die Lage

Auch Appliances auf veraltete Kernel prüfen

Unternehmen sollten die Kernel-Pakete ihrer Linux-Systeme prüfen und die Sicherheits­updates des jeweiligen Distributors priorisiert installieren. Dabei sollten sie auch Linux-basierte Firewalls und andere Appliances berücksichtigen, deren Kernel über Firmware-Updates des Geräteherstellers gepflegt wird.

Als korrigierte Kernel-Stände nennt der EUVD-Eintrag

• 5.10.257

• 5.15.208

• 6.1.174

• 6.6.141

• 6.12.91

• 6.18.33

• 7.0.10

• 7.1

Bei Distributionen können zurückportierte Korrekturen bereits in Paketen mit abweichenden Versionsnummern enthalten sein. Entscheidend ist deshalb die Freigabe des jeweiligen Anbieters für EUVD-2026-31535 / CVE-2026-46300. Nach einem regulären Kernel-Update sollten Administratoren einen gegebenenfalls erforderlichen Neustart einplanen und anschließend prüfen, ob der korrigierte Kernel läuft. Konkrete Workarounds oder Indikatoren zur Prüfung auf eine Kompromittierung werden nicht genannt.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Kernel-Härtung, Überwachung und Sandboxing erhöhen die Sicherheit

So verbessern Sie die Sicherheit Ihrer Linux-Systeme

(ID:51003669)