CVE-2026-46300: bug no kernel Linux vira root via PHP2Shell
Uma falha corrigida silenciosamente no kernel Linux em maio de 2026 ganhou identificador formal esta semana — CVE-2026-46300 — e a CISA confirmou exploração ativa ao incluí-la no catálogo Known Exploited Vulnerabilities (KEV) nesta quarta-feira (28/10). O prazo de correção é curto: até 31 de outubro. O que torna a falha urgente não é ela isolada, mas a combinação: ela transforma um webshell PHP comum — da onda de ataques batizada PHP2Shell, que o PulseIT já cobriu — em acesso root completo ao servidor.
O que aconteceu
A causa raiz está em skb_try_coalesce(), a função do kernel que funde buffers de rede (skbuffs) para economizar memória. Ao fundir dois buffers, o kernel deixava de propagar a flag SKBFL_SHARED_FRAG para o buffer de destino. Sem essa marca, o processamento IPsec/ESP passava a acreditar que não havia fragmentos compartilhados e descriptografava os dados diretamente sobre páginas do page cache — ou seja, sobre conteúdo que o sistema trata como somente leitura. Na prática, isso permite reescrever dados de arquivos supostamente protegidos.
Segundo a CISA, invasores já encadeiam essa falha com o PHP2Shell: primeiro instalam um webshell PHP explorando as falhas CVE-2026-109618 e CVE-2026-109619, depois usam o bug do kernel para elevar esse acesso a root. O resultado é controle total do servidor, não apenas do processo PHP comprometido.
Quem é afetado
A falha recebeu CVSS 7.8 (alto) e atinge as séries mantidas do kernel Linux. As versões corrigidas são:
- 5.10.257
- 5.15.208
- 6.1.174
- 6.6.141
- 6.12.91
- 6.18.33
- 7.0.10 e 7.1
Distribuições enterprise como Red Hat Enterprise Linux já publicaram dezenas de boletins (RHSA) referenciando a correção, sinal de quão disseminada é a base de kernels afetados. Qualquer servidor que não tenha recebido o patch de maio de 2026 ou atualizações de kernel mais recentes da distribuição está exposto.
O que fazer agora
- Atualize o kernel para uma das versões corrigidas acima, ou para o patch mais recente que a distribuição ofereça — Red Hat, Debian, Ubuntu e outras já distribuem a correção pelo canal de segurança padrão.
- Não há workaround para esta falha isoladamente: a mitigação é o patch do kernel.
- Audite servidores web expostos à internet por sinais de webshell PHP2Shell (arquivos PHP recém-criados em diretórios de upload, processos php-fpm gerando shells). Corrigir só o kernel não fecha a porta de entrada usada pelo PHP2Shell.
- O prazo oficial da CISA (31/10) vale para agências federais dos EUA, mas o raciocínio se aplica a qualquer operação: a combinação das duas falhas já está em uso ofensivo confirmado.
Perguntas frequentes
Preciso ter sido comprometido pelo PHP2Shell para estar em risco?
Não. A falha do kernel é explorável por qualquer processo local com baixo privilégio que já tenha algum ponto de entrada no servidor — o PHP2Shell é apenas o vetor mais observado até agora pela CISA.
Existe prova de conceito pública?
Sim, há um módulo para Metasploit em circulação, o que reduz a barreira técnica para exploração em massa.
A CISA confirma quem está explorando a falha?
Não. A CISA classifica o uso em campanhas de ransomware como “desconhecido” e não atribuiu a atividade a um grupo específico.
Conclusão
A combinação PHP2Shell + CVE-2026-46300 é o tipo de encadeamento que transforma uma falha de aplicação banal em comprometimento total do servidor. Quem já corrigiu o PHP2Shell mas não atualizou o kernel resolveu só a metade mais visível do problema.
