L'Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato un avviso ufficiale riguardante la vulnerabilità CVE-2026-46300, soprannominata Fragnesia, che colpisce il kernel Linux e consente a un utente locale privo di privilegi di ottenere accesso root al sistema. La situazione è resa più urgente dalla disponibilità pubblica di un proof-of-concept (PoC) funzionante, che abbassa significativamente la soglia tecnica per lo sfruttamento.

Cos'è Fragnesia

Fragnesia è una vulnerabilità di tipo Local Privilege Escalation (LPE) nel sottosistema XFRM ESP-in-TCP del kernel Linux, ovvero nella componente che gestisce l'implementazione IPsec per i tunnel di sicurezza di rete. Il punteggio CVSS assegnato è 7.8 (alto), ma la presenza del PoC pubblico e la semplicità dello sfruttamento la rendono nella pratica più pericolosa di quanto il numero possa suggerire.

Il difetto tecnico risiede nella funzione skb_try_coalesce(), che non propagava correttamente il marcatore SKBFL_SHARED_FRAG durante il trasferimento di frammenti di pacchetto tra buffer. Di conseguenza, il kernel poteva perdere traccia del fatto che un frammento fosse "esterno" — cioè supportato da pagine della page cache del filesystem. Il percorso di ricezione XFRM ESP-in-TCP eseguiva poi la decifratura AES-GCM in-place direttamente su quelle pagine, modificandone il contenuto in memoria.

Il risultato pratico è che un attaccante può scrivere byte arbitrari nella page cache di file in sola lettura, inclusi i binari di sistema. Il payload del PoC pubblicato prende di mira la copia in memoria di /usr/bin/su, sostituendola con codice controllato dall'attaccante che, alla successiva esecuzione, ottiene i privilegi di root senza lasciare tracce permanenti su disco.

La famiglia "Dirty Frag"

I ricercatori di sicurezza collocano Fragnesia nella cosiddetta famiglia "Dirty Frag", che raggruppa vulnerabilità Linux basate sulla manipolazione della page cache per ottenere write primitive. Si tratta di una classe di attacchi sofisticata che ha già prodotto in passato exploit molto efficaci, come Dirty COW (CVE-2016-5195) e Dirty Pipe (CVE-2022-0847).

Sistemi colpiti e patch

Sono vulnerabili tutti i kernel Linux rilasciati prima del 13 maggio 2026. Le principali distribuzioni hanno già pubblicato aggiornamenti correttivi:

  • AlmaLinux, Red Hat Enterprise Linux e CentOS Stream hanno rilasciato kernel aggiornati
  • Debian, Ubuntu e SUSE hanno reso disponibili le patch nei rispettivi repository
  • Amazon Linux ha aggiornato i kernel nelle versioni 2023 e 2

Cosa fare subito

La priorità assoluta è aggiornare il kernel al più presto. Su sistemi basati su Debian/Ubuntu è sufficiente eseguire sudo apt update && sudo apt upgrade seguito da un riavvio. Su RHEL/AlmaLinux il comando è sudo dnf update kernel.

Per i sistemi dove non è immediatamente possibile applicare la patch — ambienti di produzione critici che richiedono finestre di manutenzione programmate — alcune distribuzioni come CloudLinux offrono soluzioni di live patching (KernelCare) che applicano la correzione senza riavviare il sistema. Anche disabilitare il modulo xfrm_user può ridurre la superficie d'attacco come misura temporanea, ma va valutato attentamente in base alle dipendenze del sistema.

L'allerta ACN

L'ACN sottolinea che la disponibilità di un PoC funzionante rende questa vulnerabilità particolarmente urgente per tutti i sistemi Linux esposti. Le organizzazioni italiane che rientrano nel perimetro di sicurezza nazionale cibernetica e quelle soggette alla direttiva NIS2 dovrebbero trattare questa patch come priorità immediata nell'ambito dei propri processi di vulnerability management.

La gestione proattiva delle vulnerabilità — con cicli di patching regolari e procedure di emergenza per falle critiche con PoC pubblici — è uno degli obblighi fondamentali previsti dalla normativa NIS2 per i soggetti essenziali e importanti.