CVE-2026-46300: Fragnesia – Linux-Root-Lücke und PHP2Shell prüfen

Stand: 30. Oktober 2026. Die Linux-Schwachstelle wurde im Mai 2026 bekannt. Neu ist ihre Aufnahme in den CISA-Katalog aktiv ausgenutzter Lücken am 28. Oktober und die Verbindung mit den aktuellen PHP2Shell-Angriffen.

Wer einen eigenen Linux-Server, einen Proxmox-Host oder eine Nextcloud betreibt, hat in den vergangenen Tagen vor allem auf PHP geschaut. Doch hinter einer Webanwendung arbeitet noch eine zweite sicherheitskritische Komponente: der Linux-Kernel. Eine ältere, inzwischen nachweislich ausgenutzte Schwachstelle namens Fragnesia kann unter bestimmten Voraussetzungen dafür sorgen, dass ein Angreifer nach einem ersten Einbruch Administratorrechte erlangt.

Die Kennung lautet CVE-2026-46300. Das klingt zunächst nach einem weiteren technischen Kürzel. Tatsächlich geht es um eine sehr praktische Frage: Hast du zwar PHP aktualisiert, aber auf dem Host noch einen verwundbaren Kernel gestartet? Dann kann eine mögliche zweite Angriffsstufe offenbleiben. Andersherum ersetzt ein Kernel-Update niemals die Korrektur einer verwundbaren PHP-Laufzeit.

In diesem Beitrag erkläre ich den Unterschied zwischen beiden Fehlern, die bestätigte Nachrichtenlage und einen vorsichtigen Prüfweg für Debian, Ubuntu, Docker, LXC und Proxmox. Du musst dafür keine riskanten Exploit-Tests durchführen.

CVE-2026-46300: Was ist Fragnesia?

Fragnesia ist eine lokale Rechteausweitung im Linux-Kernel. Der Fehler liegt im Netzwerkstack, genauer bei der Behandlung von gemeinsam genutzten Speicherfragmenten im Umfeld von XFRM und ESP-in-TCP. Beim Zusammenführen von Netzwerkpuffern geht eine Kennzeichnung verloren. Spätere Verarbeitung kann dadurch Daten verändern, die eigentlich geschützt sein sollten. Ein Angreifer mit lokalem Zugriff kann diesen Zustand unter geeigneten Voraussetzungen ausnutzen, um seine Rechte zu erhöhen.

Die Schwachstelle wurde am 13. Mai 2026 öffentlich offengelegt und wird mit CVSS 7,8 als hoch eingestuft. Sicherheitsforscher haben eine technische Demonstration veröffentlicht. Die wichtige Einschränkung: Fragnesia ist nicht automatisch aus dem Internet heraus ohne Vorbedingungen ausnutzbar. Für den Angriff muss zunächst Code mit eingeschränkten Rechten auf dem betroffenen System ausgeführt werden können.

Die Kernel-Entwickler und Linux-Distributoren haben seit Mai Korrekturen veröffentlicht. Wer regelmäßig aktualisiert und den korrigierten Kernel tatsächlich gestartet hat, kann bereits geschützt sein. Eine pauschale Aussage wie „alle Linux-Server sind betroffen“ wäre falsch.

Warum die Fragnesia-Lücke jetzt erneut dringend ist

Am 28. Oktober 2026 nahm die US-Sicherheitsbehörde CISA CVE-2026-46300 in ihren Known Exploited Vulnerabilities Catalog (KEV) auf. Dort stehen Schwachstellen, für die Hinweise auf tatsächliche Ausnutzung vorliegen. Die Aufnahme ist ein deutlich stärkeres Warnsignal als eine reine Machbarkeitsstudie. CISA verweist außerdem auf die mögliche Verkettung mit CVE-2026-109618 und CVE-2026-109619, den beiden kritischen PHP2Shell-Schwachstellen.

Wichtig: Die CISA-Frist bis 31. Oktober betrifft die entsprechenden US-Bundesbehörden im Rahmen ihrer Richtlinie und gilt nicht automatisch für private deutsche Serverbetreiber. Die Dringlichkeit der Sicherheitsprüfung bleibt davon unabhängig. Auch bedeutet eine KEV-Aufnahme nicht, dass jeder Server bereits kompromittiert wurde.

Die tatsächliche Zahl betroffener deutscher Installationen lässt sich aus der KEV-Meldung nicht ableiten. Wer konkrete Opferzahlen, eine allgemeine Angriffswelle auf alle Proxmox-Hosts oder eine automatische Fernübernahme behauptet, geht über die gesicherten Informationen hinaus.

PHP2Shell plus Fragnesia: Zwei Fehler werden zur Angriffskette

Ein Beispiel macht den Unterschied deutlich. Auf einem öffentlich erreichbaren Webserver läuft eine noch verwundbare PHP-Version. Ein erfolgreicher Angriff über PHP2Shell kann dazu führen, dass fremde Befehle mit den Rechten des Webserver-Benutzers ausgeführt werden. Dieser Benutzer darf normalerweise nicht alles. Läuft jedoch zusätzlich ein anfälliger Linux-Kernel, kann Fragnesia unter passenden Bedingungen die Rechteausweitung bis zu root ermöglichen.

Das sind zwei getrennte Sicherheitsprobleme. Das PHP-Update beseitigt den Fehler in der Web-Laufzeit. Der Kernel-Fix beseitigt die lokale Rechteausweitung. Ein erfolgreiches Update entfernt zudem keine bereits abgelegte Webshell und ersetzt keine Untersuchung eines möglichen Einbruchs.

Passend dazu findest du meine ausführliche Anleitung mit sicheren PHP-Versionen und Nextcloud-AIO-Prüfung: PHP-Sicherheitslücken 2026.

Welche Linux-Server, Docker-Container und Proxmox-Systeme sind betroffen?

Entscheidend ist der Kernel, der tatsächlich läuft, und ob dein Distributor den Fragnesia-Fix bereits in genau dieses Paket integriert hat. Ein nackter Versionsvergleich aus einer Suchmaschine reicht nicht: Debian, Ubuntu und andere Anbieter übernehmen Sicherheitskorrekturen oft als Backport in ältere Versionszweige. Prüfe deshalb den Sicherheitsstatus beim Paketlieferanten.

Bei Proxmox gibt es drei Ebenen. Der physische Host verwendet einen eigenen Kernel. LXC-Container teilen sich diesen Host-Kernel. Eine vollvirtualisierte Linux-VM besitzt dagegen ihren eigenen Gast-Kernel. Deshalb musst du Host und Gast getrennt betrachten. Ein Kernel-Update innerhalb eines LXC-Containers ersetzt niemals die Aktualisierung des Proxmox-Hosts.

Auch Docker-Container teilen sich den Kernel ihres Hosts. Selbst wenn das PHP-Image im Container aktuell ist, kann ein alter Host-Kernel weiter ein Risiko darstellen. Ob ein konkreter Container tatsächlich die Voraussetzungen für eine Ausnutzung bietet, hängt unter anderem von Berechtigungen und aktivierten Kernel-Funktionen ab.

Zum Aufbau eines solchen Setups findest du auf Luftpoet meinen Praxisbericht: Mein Homeserver mit Proxmox.

Fragnesia prüfen: Die ersten sicheren Linux-Befehle

Beginne mit einer Bestandsaufnahme auf dem Host. Die folgenden beiden Befehle lesen nur Informationen aus. Bei virtuellen Linux-Maschinen wiederholst du sie zusätzlich innerhalb der jeweiligen VM.

uname -r
cat /etc/os-release

Der erste Befehl zeigt den aktuell gestarteten Kernel. Der zweite nennt die Distribution. Vergleiche beide Angaben anschließend mit der offiziellen CVE-Meldung deines Herstellers. Ein neueres Paket auf der Festplatte schützt noch nicht, solange weiterhin ein alter Kernel läuft.

Unter Debian oder Ubuntu kannst du kontrollieren, welche Paketupdates bereitstehen. Der erste Befehl aktualisiert nur die Paketlisten und installiert selbst noch keinen neuen Kernel.

sudo apt update
apt list --upgradable

Prüfe in der Ausgabe die tatsächlich verwendeten Kernel-Pakete und die Sicherheitshinweise des Distributors. Installiere Updates erst nach Backup und Wartungsplanung. Bei Servern mit ZFS, verschlüsselten Datenträgern, virtuellen Maschinen oder entfernten Zugängen muss der notwendige Neustart bewusst vorbereitet werden.

Proxmox: Host-Kernel und Update-Stand kontrollieren

Auf einem Proxmox-Host liefert die folgende Kombination den laufenden Kernel und einen Überblick über die installierten Proxmox-Komponenten. Auch hier handelt es sich um eine lesende Prüfung.

uname -r
pveversion -v

Kontrolliere danach, ob dein aktiviertes Proxmox-Repository ein korrigiertes Kernel-Paket bereitstellt und welche Hinweise der Hersteller dazu veröffentlicht. Ein installiertes Kernel-Paket wird gewöhnlich erst nach einem Neustart aktiv. Verifiziere den tatsächlich laufenden Kernel anschließend erneut. Vorher gehören ein erreichbarer Konsolenzugang, ein geprüftes Backup und bei Clustern ein geplanter Wartungsablauf dazu.

Ubuntu: Diese korrigierten Kernel-Versionen sind dokumentiert

Canonical nennt für die Standardpakete unter anderem Ubuntu 24.04 LTS mit Kernel-Paket 6.8.0-124.124, Ubuntu 22.04 LTS mit 5.15.0-181.191 und Ubuntu 26.04 LTS mit 7.0.0-22.22 als korrigiert. Diese Zahlen gelten nicht pauschal für alle Kernel-Varianten. HWE-, Cloud- und OEM-Kernel haben eigene Paketstände; manche Varianten sind laut Hersteller nicht betroffen.

Die aktuelle Tabelle einschließlich der Varianten findest du hier: Ubuntu Security – CVE-2026-46300.

Was hilft, wenn ein Kernel-Update noch nicht möglich ist?

Der richtige Weg ist ein vom Distributor bestätigtes Sicherheitsupdate. Canonical dokumentiert außerdem vorübergehende Schutzmaßnahmen für betroffene ESP/IPsec-Module. Solche Änderungen können allerdings VPN-Verbindungen und andere Netzwerkfunktionen beeinträchtigen. Wer einen entfernten Server administriert, sollte Module niemals blind deaktivieren, solange die Auswirkungen auf Netzwerk und Verwaltungszugang nicht geprüft sind.

Deshalb gibt es hier bewusst keinen pauschalen Befehl zum Entladen von Netzwerkmodulen. Prüfe zuerst, ob du IPsec, spezielle VPN-Tunnel oder andere abhängige Dienste verwendest. Ein Workaround kann den Betrieb beeinträchtigen und ersetzt den eigentlichen Fix nicht.

Offizielle Herstellerhinweise zu Updates und Übergangsmaßnahmen: Canonical – Fragnesia.

Nach dem Patch: Nicht nur auf die Versionsnummer schauen

Kontrolliere nach einem geplanten Neustart erneut uname -r und den Patchstatus des Distributors. Teste anschließend Netzwerk, Storage, virtuelle Maschinen, Container und die wichtigsten Anwendungen. Bei Anzeichen eines früheren Angriffs solltest du vor der Bereinigung Protokolle, Zeitstempel und relevante Dateien sichern. Ein erfolgreiches Kernel-Update beweist nicht, dass das System vorher unversehrt war.

Wer sowohl PHP2Shell als auch einen alten Kernel im Einsatz hatte, sollte beide Komponenten getrennt dokumentieren und bei verdächtigen Vorgängen eine strukturierte Incident-Response-Prüfung einleiten. Unbekannte PHP-Dateien, neue Konten und ungewöhnliche ausgehende Verbindungen können Hinweise sein, sind für sich genommen aber keine sicheren Beweise.

Häufige Fragen zu CVE-2026-46300

Kann Fragnesia direkt jeden Linux-Server aus dem Internet übernehmen?

Nein. Die Kernel-Lücke ist eine lokale Rechteausweitung. Sie kann besonders gefährlich werden, wenn eine zweite Schwachstelle dem Angreifer zuvor einen eingeschränkten Zugang verschafft.

Reicht es, PHP zu aktualisieren?

Nein. PHP und der Kernel benötigen ihre jeweiligen Sicherheitskorrekturen. Eine Aktualisierung der Anwendung behebt keine unabhängige Kernel-Schwachstelle.

Muss ich den Kernel in einem Proxmox-LXC-Container aktualisieren?

LXC verwendet den Kernel des Proxmox-Hosts. Die Host-Aktualisierung ist entscheidend; Pakete und Dienste im Container müssen trotzdem separat gepflegt werden.

Fazit: Jetzt den Kernel prüfen, nicht in Panik geraten

Fragnesia ist nicht erst gestern entstanden. Neu ist die bestätigte Ausnutzung und die dokumentierte Verbindung mit PHP2Shell. Gerade bei selbst betriebenen Linux-Diensten lohnt sich deshalb eine zweistufige Kontrolle: Ist die PHP-Laufzeit korrigiert, und läuft auf dem Host ein Kernel mit bestätigtem Fragnesia-Fix? Wer diese beiden Fragen sauber beantwortet, ist deutlich weiter als jemand, der nur blind Versionsnummern vergleicht.

Quellen und weiterführende Informationen

Offizieller Katalog: CISA – Known Exploited Vulnerabilities. CVE-2026-46300, aufgenommen am 28. Oktober 2026.

Paketstände und technische Beschreibung: Ubuntu Security.

Herstelleranalyse: Canonical.

Sicherheitseinstufung: Red Hat.

Aktuelle Einordnung vom 29. Oktober 2026: BleepingComputer.

Neugierig auf mehr?

Wenn dir dieser Beitrag gefallen hat, dann schau gerne öfter auf luftpoet.de vorbei. Hier findest du regelmäßig neue Artikel, persönliche Erfahrungsberichte und spannende Einblicke rund um Technik, KI, Gaming und den digitalen Lifestyle. Egal ob Linux, Server, Smart Home, Pi Network oder coole Gadgets – im Blogbereich warten viele weitere Beiträge darauf, entdeckt zu werden. Vielleicht interessieren dich auch meine aktuellen Projekte, Tipps und Empfehlungen auf der Startseite. 👉 Viel Spaß beim Stöbern – und bis zum nächsten Beitrag auf Luftpoet!