Fragnesia (CVE-2026-46300) Saldırıda: Linux Çekirdeğinde Root Açığı CISA KEV Listesinde, PHP Açığıyla Zincirleniyor

Fragnesia nedir? (Linux kernel privilege escalation)

Açık, Linux çekirdeğinin ağ katmanında, IPsec trafiğinin TCP üzerinden taşındığı ESP-in-TCP yolunda bulunuyor. Çekirdek ağ paketlerini birleştirirken bir bayrağı taşımıyor; bunun sonucunda dosyalardan ödünç alınan bellek sayfaları özel bellekmiş gibi görünüyor ve şifre çözme işlemi bu sayfaların üzerine yazıyor. Saldırgan bu yolla diskteki dosyaya dokunmadan, örneğin /usr/bin/su dosyasının bellekteki (page cache) kopyasını değiştirebiliyor ve root yetkisi elde ediyor.

• CVE: CVE-2026-46300
• CVSS: 7.8 (yüksek); Red Hat "Important" olarak derecelendiriyor.
• Saldırı ön koşulu: Sunucuda kod çalıştırabilen yerel bir kullanıcı. Uzaktan tek başına kullanılamaz.
• Bulan: V12 Security'den William Bowling. 13 Mayıs 2026'da çalışan bir kanıt kodu ve yamayla birlikte duyuruldu.
• Aile: Copy Fail ve Dirty Frag'den sonra aynı alt sistemde birkaç hafta içinde çıkan üçüncü yetki yükseltme açığı.

Mayısta yamalanan açık neden şimdi gündemde? (CISA KEV, Oct 28)

CISA, 28 Ekim 2026'da CVE-2026-46300'ü Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi. Bu, açığın gerçek saldırılarda kullanıldığına dair kanıt olduğu anlamına geliyor. Güvenlik firmalarının raporlarına göre saldırganlar zinciri şöyle kuruyor: önce Ekim sonunda duyurulan PHP açıklarıyla (PHP2Shell, CVE-2026-109618 ve CVE-2026-109619) web sunucusuna bir web shell yerleştiriyor, ardından Fragnesia ile root oluyor. Bildirilen bir örnekte saldırganlar /etc/pam.d/su dosyasının bellekteki kopyasını pam_permit.so kullanacak şekilde değiştirerek parola sorusunu kaldırmış.

Kısacası mayıstan beri yeniden başlatılmamış ya da eski çekirdekte bırakılmış sunucular, PHP açığıyla birlikte tam yetkiyle ele geçirilebilir hâle geliyor. PHP tarafı için ayrıntılar PHP2Shell yazımızda.

Hangi çekirdekler etkileniyor, hangileri düzeltilmiş? (Fixed kernel versions)

Açık, 13 Mayıs 2026'dan önce yayımlanan çekirdekleri etkiliyor. Kararlı dallarda düzeltmenin ilk geldiği sürümler kaynaklarda şöyle veriliyor:

Dağıtımlar düzeltmeyi kendi paket numaralarıyla mayıs sonunda yayımladı. Ubuntu, Debian, Red Hat ve SUSE için kesin paket sürümünü kendi güvenlik duyurularından kontrol edin; Ubuntu bu açığın Dirty Frag (CVE-2026-43284) ile birlikte kapatılmasını öneriyor.

Sunucunuzu nasıl kontrol edersiniz? (How to check)

# Çalışan çekirdek (kurulu paket değil!)
uname -r

# Debian / Ubuntu: kurulu en yeni çekirdek paketi
dpkg -l 'linux-image-*' | grep ^ii

# RHEL / AlmaLinux / Rocky
rpm -q kernel

# ESP modülleri yüklü mü?
lsmod | grep -E 'esp4|esp6'

En sık yapılan hata, güncellemeyi kurup yeniden başlatmamaktır. uname -r çıktısı kurulu en yeni paketten eskiyse sunucu hâlâ açık çekirdekle çalışıyor demektir. Canlı yama (livepatch) kullanıyorsanız sağlayıcınızın bu CVE'yi kapsadığını ayrıca doğrulayın.

Hemen yama yapamıyorsanız (Workarounds)

Kalıcı çözüm yalnız güncel çekirdek ve yeniden başlatmadır. Bakım penceresi bekleyen sunucularda geçici önlemler:

# ESP modüllerini engelle (bu sunucuda IPsec VPN çalışmaz)
echo 'install esp4 /bin/false' | sudo tee /etc/modprobe.d/block-esp.conf
echo 'install esp6 /bin/false' | sudo tee -a /etc/modprobe.d/block-esp.conf

# Ya da ayrıcalıksız kullanıcı ad alanlarını kapat
# (rootless container ve Flatpak çalışmaz)
sudo sysctl -w user.max_user_namespaces=0

Bazı kaynaklar rxrpc modülünün de engellenmesini öneriyor. PHP'yi güncellemek saldırının giriş kapısını kapatır, ama çekirdek açığını kapatmaz; ikisi birlikte yapılmalı.

Ele geçirilme izleri (Indicators)

Fragnesia değişikliği diskte değil bellekte yapar. Bu yüzden disk tabanlı dosya bütünlüğü kontrolleri temiz çıkabilir ve yeniden başlatma izleri siler. Şüpheli bir sunucuda önce bellek görüntüsü alınması önerilir. Bakılabilecek noktalar:

# Paket dosyalarını kurulu hash'lerle karşılaştır
debsums -s -c                 # Debian/Ubuntu
rpm -V $(rpm -qf /usr/bin/su) # RHEL/SUSE

# PAM yapılandırmasında beklenmeyen pam_permit
grep -n pam_permit /etc/pam.d/su

# 21 Ekim'den sonra değişen PHP dosyaları
find /var/www -name '*.php' -newermt 2026-10-21

IPsec kullanmadığı hâlde esp4/esp6 modülü yüklü görünen sunucular da incelenmeli. Paylaşımlı hosting sunucuları, PHP çalıştıran web sunucuları, CI makineleri ve container düğümleri en çok risk altındaki gruptur. Alesta WEB olarak sunucu bakımında çekirdek ile PHP güncellemelerini birlikte planlamanızı ve güncelleme sonrası yeniden başlatmayı atlamamanızı öneriyoruz.

Sık sorulan sorular

Fragnesia uzaktan kullanılabilir mi?

Tek başına hayır; saldırganın sunucuda kod çalıştırabilmesi gerekir. Sorun, bu ön koşulun bir web uygulaması açığıyla kolayca sağlanabilmesidir.

Ubuntu 20.04 etkileniyor mu?

Bazı kaynaklar standart çekirdekli 20.04'ün etkilenmediğini söylüyor; kesin bilgi için Ubuntu güvenlik duyurusuna bakın.

Kişisel Linux dizüstü bilgisayarım risk altında mı?

Tek kullanıcılı makinelerde risk daha düşüktür, ama güncelleme yine de kurulmalı ve makine yeniden başlatılmalıdır.

İlgili sayfalar: PHP2Shell açığı nasıl kapatılır · VDS / VPS sunucu · Web yazılım hizmetleri · İletişim

Kapak fotoğrafı: NOIRLab/NSF/AURA/T. Slovinský / Wikimedia Commons (CC BY 4.0)