CISA warnt vor Linux-Root-Lücke, die zum Hacken von Palo-Alto-Firewalls genutzt wurde

Eine Linux-Kernel-Lücke, die Angreifern Root-Zugriff ermöglichen kann, wurde in den Katalog aktiv ausgenutzter Schwachstellen der Cybersecurity and Infrastructure Security Agency (CISA) aufgenommen.

CISA nahm CVE-2026-46300, bekannt als Fragnesia, am 28. Okt. 2026 auf. Angreifer nutzten die Linux-Schwachstelle zur Rechteausweitung zusammen mit Lücken zur Remotecodeausführung, um Firewalls von Palo Alto Networks zu kompromittieren und auf die interne Infrastruktur zuzugreifen, wie Sicherheitsforscher berichten.

Palo Alto Networks bestätigte die Ergebnisse am 29. Okt. Bei den gemeldeten Eindringversuchen wurden kompromittierte Firewall-Managementsysteme und gestohlene Zugangsdaten festgestellt; außerdem wurde versucht, auf Identitätsdienste von Unternehmen zuzugreifen.

Linux-Lücke mit 25 kompromittierten Servern in Verbindung gebracht

Die Liste der bekannten ausgenutzten Schwachstellen der CISA setzt für die betroffenen zivilen Bundesbehörden eine Frist zur Behebung bis zum 31. Okt. Fragnesia weist einen CVSS-3.1-Wert von 7,8 auf, was auf einen hohen Schweregrad hindeutet.

In einer am 29. Okt. aktualisierten Untersuchung berichtete Dream Research von 25 kompromittierten Firewall- und Management-Servern in den Vereinigten Staaten, Japan, Taiwan und Südkorea. Drei davon waren einer Umgebung mit Verbindung zur US-Regierung zugeordnet.

Dream Research meldete die Kompromittierung von 24 exponierten Firewalls auf Root-Ebene und eines internen Management-Servers. In einer Umgebung mit Verbindung zur US-Regierung richteten die Angreifer außerdem einen persistenten Tunnel ein, extrahierten Zugangsdaten und erfassten Konten in Active Directory.

Die Aktivitäten ähneln jüngsten Angriffen auf Firewall-Managementsysteme von Cisco, bei denen die kompromittierte Administrationsinfrastruktur den Zugriff auf interne Netzwerke ermöglichte.

So erlangten die Angreifer Root-Rechte

Fragnesia geht auf einen Fehler im Linux-Kernel zurück, der beim Zusammenführen von Socket-Puffern eine gemeinsam genutzte Fragmentmarkierung nicht beibehält. Bei der Verarbeitung verschlüsselter Pakete kann dies eine unbeabsichtigte Änderung von Daten ermöglichen, die durch den Seitencache unterstützt werden, und so einen Weg zu Root-Rechten eröffnen.

Die Lücke ermöglicht nicht eigenständig den Fernzugriff. Angreifer nutzten zunächst zwei PHP-Schwachstellen zur Remotecodeausführung, CVE-2026-109618 und CVE-2026-109619, die zusammen als PHP2Shell bezeichnet werden, über exponierte PAN-OS-Managementschnittstellen aus.

Anschließend nutzten sie Fragnesia, um Root-Rechte zu erlangen. Dream zufolge konnte die vollständige Angriffskette in weniger als 15 Minuten eine persistente Root-Webshell einrichten.

Bei einem separaten Ivanti-VPN-Eindringversuch kam es zu einer ähnlichen Abfolge aus Fernzugriff und Rechteausweitung, gefolgt vom Diebstahl von Zugangsdaten.

In einem Bedrohungsbericht vom 29. Okt. verifizierte Palo Alto Networks Unit 42 die von den Angreifern eingesetzten Werkzeuge unabhängig und bestätigte die Ergebnisse von Dream.

So können Unternehmen das Risiko minimieren

Unternehmen sollten betroffene Linux-Systeme patchen, exponierte Managementdienste absichern und eine mögliche Kompromittierung untersuchen. Zu den vorrangigen Maßnahmen gehören:

• Sicherheitspatches anwenden. Distributionsspezifische Kernel-Fixes installieren und, falls erforderlich, einen Neustart durchführen. Im Ratgeber von Palo Alto Networks finden sich PAN-OS-Releases, die PHP2Shell beheben.
• Managementzugriff beschränken. Administrationsschnittstellen auf vertrauenswürdige Netzwerke beschränken und sensible Infrastruktur segmentieren. Die jüngsten Angriffe auf den Arista VeloCloud Orchestrator verdeutlichen ebenfalls das Risiko exponierter Managementdienste.
• Bei Bedarf vorübergehende Kernel-Abhilfemaßnahmen einsetzen. Wenn ein betroffener Ubuntu-Kernel nicht sofort gepatcht werden kann, folgen Sie den Anweisungen von Canonical zum Deaktivieren esp4 und esp6. Prüfen Sie zunächst die Abhängigkeiten von IPsec und entfernen Sie die Behelfslösung nach der Installation des Sicherheitsupdates.
• Privilegierten Zugriff absichern. Nicht benötigte lokale Konten entfernen, das Prinzip der geringsten Rechte durchsetzen und privilegierte Container auf verwundbaren Hosts beschränken.
• Anzeichen einer Kompromittierung untersuchen. Nach unerwarteten Root-Aktivitäten, Webshells, persistenten Tunneln und ungewöhnlichen Zugriffen auf Active Directory suchen.
• Pläne für die Reaktion auf Sicherheitsvorfälle testen. Eindämmung, Beweissicherung, Rotation von Zugangsdaten und Wiederherstellungsverfahren für kompromittierte Managementsysteme überprüfen.

Patches schließen bekannte Schwachstellen, zeigen aber nicht, ob Angreifer bereits Zugriff erlangt haben. Unternehmen sollten exponierte Systeme vor Abschluss der Behebung auf Persistenz und kompromittierte Zugangsdaten untersuchen.

Mehr dazu: Ein ausgenutzter Zero-Day in der Check-Point-Verwaltung zeigt, wie Schwachstellen in zentralisierten Sicherheitsplattformen administrative Funktionen offenlegen können und Untersuchungen auf eine Kompromittierung nach dem Patchen erforderlich machen.