Peringatan Keamanan: Fragnesia (CVE-2026-46300), Celah Kernel Linux untuk Menjadi Root Kini Dieksploitasi Aktif

KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengelola server berbasis Linux untuk memperbarui kernel dan me-reboot server sesegera mungkin. Kerentanan CVE-2026-46300, yang dikenal dengan nama Fragnesia, memungkinkan pengguna biasa di sebuah server menjadi root (administrator penuh). Kode eksploit sudah beredar publik, dan sejak 28 Oktober 2026 CISA menyatakan celah ini sudah dieksploitasi dalam serangan nyata.

Celah ini paling berbahaya bila digabungkan dengan celah aplikasi web. Penyerang yang berhasil menjalankan perintah lewat aplikasi web, misalnya melalui PHP2Shell (CVE-2026-109618), biasanya hanya mendapat hak akses pengguna web seperti www-data atau apache. Fragnesia menghapus batas itu dan memberi penyerang kendali penuh atas server.

Ikhtisar

Dampak

• Pengambilalihan server. Setiap pengguna lokal, termasuk akun layanan web yang sudah dibobol penyerang, dapat menjadi root. Dengan hak root, penyerang dapat membaca seluruh data, memasang backdoor, menghapus jejak, dan memakai server sebagai batu loncatan ke sistem lain.
• Eksploitasi andal. Menurut Tenable, eksploit tidak bergantung pada race condition dan sudah terbukti bekerja di Ubuntu. Kode eksploit tersedia publik sejak Mei 2026.
• Patch lama tidak cukup. Server yang sudah ditambal untuk celah serupa sebelumnya, Dirty Frag (CVE-2026-43284 dan CVE-2026-43500), tetap rentan terhadap Fragnesia.

Sistem yang Terdampak

Kernel Linux sejak versi 3.9 hingga sebelum perbaikan Mei 2026, pada hampir semua distribusi. Yang menentukan adalah kernel yang sedang berjalan, bukan paket yang terpasang: kernel baru belum melindungi server sebelum server di-reboot.

Detail Teknis

Saat kernel menerima paket TCP, fungsi skb_try_coalesce() dapat menggabungkan potongan data (fragment) dari beberapa paket. Potongan yang sebenarnya milik pihak lain, misalnya halaman page cache sebuah berkas, diberi penanda SKBFL_SHARED_FRAG agar tidak ditulisi langsung. Sebelum diperbaiki, penanda ini hilang saat penggabungan. Modul IPsec ESP (esp4/esp6) kemudian mendekripsi data di tempat tanpa menyalinnya, sehingga penyerang dapat menulis byte sembarang ke page cache berkas yang seharusnya read-only, misalnya berkas konfigurasi sistem atau program milik root.

Untuk memicu jalur ini, eksploit memakai user namespace dan network namespace yang aktif secara bawaan di sebagian besar distribusi, sehingga penyerang tidak memerlukan hak istimewa apa pun di awal. Perbaikan upstream ada pada commit f84eca581739 ("net: skbuff: preserve shared-frag marker during coalescing").

Rekomendasi

1. Periksa kernel yang berjalan di setiap server: uname -r. Bandingkan dengan tabel di atas.
2. Perbarui kernel:
   • Ubuntu/Debian: sudo apt update && sudo apt full-upgrade
   • AlmaLinux/Rocky/RHEL/Oracle Linux: sudo dnf upgrade 'kernel*' (Oracle Linux dengan UEK: sudo dnf upgrade 'kernel-uek*')
3. Reboot server, lalu pastikan uname -r menunjukkan versi baru. Periksa juga bahwa layanan (web server, database, VPN) kembali berjalan.
4. Pastikan partisi /boot masih cukup ruang sebelum memasang kernel baru. Hapus kernel lama yang tidak dipakai bila perlu, tetapi jangan hapus kernel yang sedang berjalan.

Langkah sementara untuk server yang belum dapat di-reboot. Ubuntu menganjurkan pemblokiran modul ESP:

echo "install esp4 /bin/false" | sudo tee /etc/modprobe.d/fragnesia.conf
echo "install esp6 /bin/false" | sudo tee -a /etc/modprobe.d/fragnesia.conf
sudo update-initramfs -u -k all     # Debian/Ubuntu; RHEL dan turunannya: sudo dracut -f
sudo rmmod esp4 esp6 2>/dev/null

• Langkah ini mematikan IPsec, termasuk VPN berbasis strongSwan atau Libreswan. Jangan terapkan di server yang menjadi titik VPN IPsec.
• Bila rmmod gagal karena modul sedang dipakai, server tetap rentan sampai di-reboot.
• Hapus berkas /etc/modprobe.d/fragnesia.conf setelah kernel perbaikan terpasang dan berjalan.

Periksa tanda-tanda serangan. Perubahan yang dibuat lewat Fragnesia berada di memori (page cache) dan dapat hilang saat server di-reboot. Bila ada indikasi serangan, kumpulkan bukti sebelum reboot:

• Periksa keutuhan berkas sistem dengan sudo rpm -Va (RHEL dan turunannya) atau sudo debsums -c (Debian/Ubuntu). Perhatikan berkas di /etc/pam.d/, /usr/bin/su, /usr/bin/sudo, dan /etc/passwd.
• Periksa apakah pam_permit.so muncul di /etc/pam.d/su atau /etc/pam.d/sudo: grep -n pam_permit /etc/pam.d/su /etc/pam.d/sudo. Baris tersebut tidak lazim ditulis langsung di kedua berkas itu; bandingkan dengan server sejenis atau dengan isi asli dari paket.
• Telusuri log untuk proses su, sudo, atau shell yang dijalankan oleh akun layanan web (www-data, apache, nginx).

Bila menemukan indikasi, jangan me-reboot, menghapus berkas, atau memulihkan server sebelum berkoordinasi. Laporkan melalui formulir laporan insiden.

Catatan Status Eksploitasi

CISA memasukkan CVE-2026-46300 ke katalog KEV pada 28 Oktober 2026 dengan tenggat perbaikan 31 Oktober 2026 bagi instansi federal Amerika Serikat. Entri KEV tidak merinci serangan yang diamati. Sebuah laporan pihak ketiga yang dikutip beberapa media keamanan menyebut penyerang menggabungkan PHP2Shell dengan Fragnesia untuk mengambil alih root di sejumlah server, lalu mengganti konfigurasi /etc/pam.d/su agar dapat masuk tanpa kata sandi. Laporan tersebut belum dapat kami verifikasi dari sumber primer, tetapi pola serangannya sesuai dengan mekanisme celah ini. Artikel ini akan diperbarui bila ada informasi baru.

Referensi

• Ubuntu – CVE-2026-46300 dan blog mitigasi Fragnesia
• Debian Security Tracker – CVE-2026-46300
• AlmaLinux – Fragnesia (CVE-2026-46300) Patches Released
• Red Hat – CVE-2026-46300 dan RHSA-2026:19568
• Tenable – Fragnesia (CVE-2026-46300) FAQ
• Kernel.org – commit perbaikan
• NVD – CVE-2026-46300
• CISA – Known Exploited Vulnerabilities Catalog
• Katalog CVE KUTIM-CSIRT: CVE-2026-46300