Fragnesia e ssh‑keysign‑pwn: duas novas falhas do kernel Linux que preocupam administradores

Administradores de sistemas Linux foram alertados sobre duas vulnerabilidades recentes no kernel que podem ser exploradas depois que um invasor já conseguiu algum acesso ao sistema. Chamadas de Fragnesia (CVE‑2026‑46300) e ssh‑keysign‑pwn (CVE‑2026‑46333), essas falhas permitem que usuários locais sem privilégios obtenham acesso root ou leiam dados altamente sensíveis normalmente restritos ao administrador do sistema.

Especialistas recomendam aplicar atualizações do kernel o mais rápido possível para evitar exploração.

Fragnesia (CVE‑2026‑46300): escalada para root via subsistema de rede

A vulnerabilidade Fragnesia é uma falha de escalada de privilégios local no subsistema de rede do kernel Linux conhecido como XFRM ESP‑in‑TCP. Um usuário local sem privilégios pode manipular o page cache do kernel e, com isso, obter acesso root em sistemas vulneráveis .

O bug está relacionado à mesma família de falhas da vulnerabilidade Dirty Frag, que também afetava partes da pilha de rede do Linux. Mesmo assim, Fragnesia é considerada uma falha separada e exige um patch próprio, mesmo em sistemas que já corrigiram Dirty Frag .

Pesquisadores demonstraram que o exploit pode:

• explorar uma falha lógica no caminho de rede ESP/XFRM
• modificar páginas de memória em cache associadas a arquivos somente leitura
• transformar essa corrupção em gravações arbitrárias que permitem escalada de privilégios

Quando o ataque funciona, o usuário local consegue acesso root completo, assumindo controle total da máquina . Um proof‑of‑concept público já foi divulgado e funcionou em sistemas reais, incluindo instalações do Ubuntu .

ssh‑keysign‑pwn (CVE‑2026‑46333): vazamento de segredos do sistema

A segunda vulnerabilidade, chamada ssh‑keysign‑pwn, afeta a lógica de controle de acesso do ptrace no kernel Linux. Diferentemente da Fragnesia, ela não entrega diretamente uma shell root — mas permite vazamento de informações sensíveis .

O problema está na forma como o kernel trata a propriedade chamada "dumpability" dentro da função ptrace_may_access(), usada para verificar se um processo pode inspecionar outro processo .

Em determinadas situações — especialmente quando um processo não possui uma estrutura completa de gerenciamento de memória — a verificação de permissões pode falhar, permitindo acesso que deveria exigir privilégios elevados.

Na prática, um atacante local pode explorar isso para acessar arquivos extremamente sensíveis, por exemplo:

• chaves privadas de host SSH em /etc/ssh/
• hashes de senha armazenados em /etc/shadow

Alguns proof‑of‑concept públicos exploram o utilitário ssh-keysign, um helper do OpenSSH que roda com

setuid root

O bug já foi corrigido em vários kernels estáveis, incluindo 7.0.8, 6.18.31, 6.12.89, 6.6.139, 6.1.173, 5.15.207 e 5.10.256 .

Por que essas falhas fazem parte de uma “onda” recente

Fragnesia e ssh‑keysign‑pwn apareceram em meio a uma sequência incomum de divulgações de vulnerabilidades no kernel Linux. Pesquisadores observaram que várias falhas — incluindo Dirty Frag e bugs relacionados a Copyfail — foram reportadas em um intervalo de aproximadamente duas semanas .

Essas vulnerabilidades compartilham algumas características importantes:

• afetam subsistemas centrais do kernel, como rede ou rastreamento de processos
• assumem que o invasor já possui execução de código local sem privilégios
• permitem escalar privilégios ou acessar dados críticos

Isso significa que, após um comprometimento inicial — por exemplo via aplicação web vulnerável, credenciais roubadas ou fuga de container — essas falhas podem ser usadas para obter controle completo do sistema.

Atualizações e medidas imediatas para administradores

Como os problemas estão no kernel, a mitigação exige instalar kernels atualizados e reiniciar o sistema para carregar a versão corrigida.

Passos recomendados:

• Atualizar o kernel imediatamente usando os pacotes de segurança do fornecedor da distribuição.
• Reiniciar o sistema após a atualização para garantir que o kernel corrigido esteja em execução.
• Confirmar a versão ativa do kernel com

  uname -r

  .

Algumas distribuições já liberaram atualizações contendo correções para ambos os CVEs; por exemplo, o AlmaLinux publicou kernels corrigidos distribuídos via atualização padrão do sistema .

Mitigações temporárias para Fragnesia

Se a atualização não puder ser aplicada imediatamente, é possível reduzir a superfície de ataque desativando módulos de rede vulneráveis.

Administradores podem descarregar ou bloquear módulos como:

• esp4
• esp6
• rxrpc

Isso diminui a exposição ao bug, embora possa desativar funcionalidades relacionadas a IPsec ou VPNs baseadas nesse subsistema .

Mitigações temporárias para ssh‑keysign‑pwn

Outra medida temporária envolve restringir o uso de ptrace. Alguns administradores aumentaram a configuração de segurança:

kernel.yama.ptrace_scope=2 ou 3

Essa configuração dificulta a exploração conhecida, mas pode quebrar ferramentas de depuração como strace e gdb, por isso deve ser tratada apenas como solução provisória até a aplicação do patch oficial .

Conclusão

As falhas Fragnesia e ssh‑keysign‑pwn mostram como vulnerabilidades pós‑comprometimento no kernel podem ser perigosas. Mesmo que um invasor comece com acesso limitado, esses bugs podem transformar esse acesso em controle total do sistema ou exposição de segredos críticos.

Para a maioria das organizações, a resposta correta é direta:

• aplicar atualizações do kernel que corrigem CVE‑2026‑46300 e CVE‑2026‑46333
• reiniciar os sistemas para ativar o kernel atualizado
• rotacionar segredos sensíveis, como chaves SSH, caso haja suspeita de comprometimento

Com proof‑of‑concepts públicos já disponíveis, adiar a aplicação de patches aumenta significativamente o risco de exploração real.