Linux-Kernel-Lücke „Fragnesia“

Diese Mitteilung ist als wichtig eingestuft.

Die US-Sicherheitsbehörde CISA hat am 28. Oktober 2026 bestätigt, dass Angreifer zwei Sicherheitslücken ausnutzen, für die es seit Monaten Updates gibt. Die eine steckt im Linux-Kernel, dem Kern des Betriebssystems Linux, auf dem viele Webserver laufen (Kennung CVE-2026-46300, auch „Fragnesia“ genannt). Die andere betrifft VMware ESX, eine Software, mit der Unternehmen mehrere virtuelle Server auf einem Rechner betreiben (Kennung CVE-2026-41709).

Unsere eigenen Systeme, das gesamte Webhosting sowie alle Managed-Server und Managed-VDS sind seit Monaten auf dem aktuellen Stand. Bei selbst verwalteten Servern und VDS liegen die Updates in der Verantwortung der Kunden.

Wir empfehlen dringend zu prüfen, ob selbst verwaltete Linux-Server und VDS mit einem aktuellen Kernel laufen und nach dem letzten Kernel-Update neu gestartet wurden (siehe unten).

Welche Server sind betroffen?

Die Kernel-Lücke betrifft Linux-Server, deren Kernel nicht auf dem aktuellen Stand ist, und Server, die nach dem Kernel-Update nicht neu gestartet wurden. Die ersten Linux-Distributionen haben die Korrektur Mitte Mai 2026 ausgeliefert.

Ein Angreifer, der schon Zugang zum Server hat, etwa über eine gehackte Website, kann über die Kernel-Lücke die vollständige Kontrolle über den Server übernehmen. Bei den derzeit bekannten Angriffen kamen die Angreifer über die PHP-Lücken vom 21. Oktober 2026 auf die Server und nutzten dann die Kernel-Lücke.

Die VMware-Lücke betrifft Unternehmen, die VMware ESX selbst betreiben und die Updates vom 29. Juli 2026 noch nicht eingespielt haben. Die Lücke erlaubt Angreifern mit Administratorrechten, Aktionen auszuführen, ohne dass sie protokolliert werden, und so ihre Spuren zu verwischen. Der Hersteller Broadcom stuft sie als wenig gefährlich ein; angegriffen wird sie trotzdem.

Wie schätzt die CISA die Lage ein?

Die CISA hat beide Lücken am 28. Oktober 2026 in ihren Katalog ausgenutzter Schwachstellen aufgenommen. Das bedeutet: Es gibt Belege für laufende Angriffe. Die Behörde rät allen Organisationen, solche Lücken vorrangig zu schließen.

Was bedeuten die Lücken für die Systeme bei uns?

Unsere eigenen Systeme, das gesamte Webhosting sowie alle Managed-Server und Managed-VDS sind seit Monaten auf dem aktuellen Stand. Für Websites und Anwendungen auf diesen Systemen ist nach heutigem Stand nichts weiter zu tun.

Server und VDS ohne Managed Service liegen in der Verantwortung der Kunden. Dort sollte der Kernel-Stand selbst geprüft oder der Administrator damit beauftragt werden.

Was ist bei selbst verwalteten Servern und VDS zu tun?

Umgehend das aktuellste Kernel-Update der Linux-Distribution einspielen und den Server anschließend neu starten. Ohne Neustart bleibt der alte, unsichere Kernel aktiv!

Mit uname -r prüfen, welcher Kernel gerade läuft, und die Nummer mit dem neuesten installierten Kernel-Paket vergleichen. Weichen beide Nummern voneinander ab, fehlt der Neustart. Im Zweifel den Server neu starten.
Laufen Anwendungen in Containern, zum Beispiel mit Docker, zählt der Kernel des Servers. Ein Update im Container genügt nicht.
Zugleich die PHP-Version prüfen (siehe unsere Mitteilung zu den kritischen PHP-Sicherheitslücken „PHP2Shell“ vom 21. Oktober 2026). Bei den bekannt gewordenen Angriffen haben die Täter beide Lücken kombiniert.
Bei selbst betriebenem VMware ESX die Updates vom 29. Juli 2026 einspielen: ESX 8.0 Update 3j oder neuer, ESX 9.0.2.0100 oder neuer, ESX 9.1.0.0 oder neuer.

Wer Sicherheitsupdates wie dieses nicht selbst einspielen möchte, kann für Server und VDS unseren Managed Service hinzubuchen. Dann übernehmen wir die Updates. Anfragen dazu nimmt unser Kundenservice über das Kontaktformular entgegen.

Ist unklar, welcher Kernel läuft, oder gibt es Fragen? Unser Kundenservice hilft gerne weiter.

Quellen

Stand: 29. Oktober 2026