Luka w jądrze Linuksa (kernel): czy dotyczy Twojego PrestaShop?

Jeśli przeczytałeś o poważnej luce w jądrze Linuksa (kernel) i masz sklep PrestaShop, najpewniej dotyczy to także Ciebie: prawie wszystkie sklepy działają na Linuksie. Przez tę lukę nikt nie wejdzie do Twojego sklepu bezpośrednio z internetu, ale ktoś, komu już udało się uruchomić coś na Twoim serwerze, może przejąć całą maszynę. To, co masz zrobić dziś, zależy od tego, gdzie stoi Twój sklep: na hostingu współdzielonym pytasz dostawcę, na własnym serwerze aktualizujesz i restartujesz.

Ostrzeżenie, które wróciło na nagłówki, pojawiło się 28 października, gdy amerykańska agencja cyberbezpieczeństwa CISA dodała lukę Fragnesia do swojej listy podatności używanych już w prawdziwych atakach.

Co się stało z jądrem Linuksa?

Jądro, czyli kernel, to centralna część Linuksa: ta, która rządzi wszystkim innym, co działa na serwerze. W tym roku wyszło kilka poważnych luk jedna po drugiej i stąd tyle nagłówków: Copy Fail, Dirty Frag, Fragnesia, GhostLock, Vghost. Od maja CISA dodała do tej listy osiem luk w jądrze.

Nie musisz uczyć się nazw. Te pięć łączy to, co naprawdę Cię interesuje: to luki lokalne.

Czy przez tę lukę można wejść do mojego sklepu PrestaShop?

Sama w sobie: nie. Microsoft tłumaczy to na przykładzie Copy Fail: atakujący musi już mieć przyczółek na maszynie. A Red Hat mówi to samo o Fragnesii: potrzebny jest lokalny dostęp do systemu.

Wyobraź sobie serwer jako biurowiec. Te luki nie otwierają drzwi od ulicy. Ale temu, kto już jest w środku, choćby w schowku na miotły, dają klucze do całego budynku.

A jak trafia się do tego schowka? Dość zwyczajnymi drogami:

• Moduł z dziurą w zabezpieczeniach, która pozwala uruchomić kod na Twoim serwerze.
• Inna strona na Twoim własnym koncie, na przykład stary WordPress, którego nikt nie aktualizuje.
• Strona innego klienta, jeśli jesteś na hostingu współdzielonym. CloudLinux, z którego systemu korzysta wiele hostingów, ostrzega, że złośliwy klient mógłby dotrzeć do innych kont na tej samej maszynie.
• Luka w PHP, taka jak PHP2Shell.

To ostatnie to nie teoria. W swoim wpisie o Fragnesii CISA ostrzega, że tę lukę można połączyć z PHP2Shell, by zainstalować tylne wejście i wykonywać polecenia z pełną kontrolą nad serwerem. CISA nie podała szczegółów tych ataków, a to, co przeczytaliśmy, nie mówi o sklepach internetowych, więc nie ma powodu do paniki, ale jest powód, żeby zamknąć jedno i drugie.

Dlaczego sama aktualizacja serwera nie wystarczy?

Bo nowe jądro nic nie daje, dopóki serwer się na nim nie uruchomi. Przypominają o tym Ubuntu, AlmaLinux i kanadyjskie centrum cyberbezpieczeństwa: zaktualizować i zrestartować. Serwer może mieć poprawkę zainstalowaną od tygodni i wciąż działać na starym jądrze.

Drugi sposób to łatanie na żywo: narzędzia takie jak KernelCare, które nakładają poprawkę na działające jądro, bez restartu. Na hostingu współdzielonym każdy restart odcina wszystkich klientów, więc „nie restartowaliśmy” nie jest złym znakiem, jeśli usłyszysz, że działa łatanie na żywo.

Co mam zrobić w zależności od tego, gdzie stoi mój sklep?

Jeśli jesteś na hostingu współdzielonym

Logujesz się do panelu, na przykład cPanel lub Plesk, i nie administrujesz serwerem. Jądro to sprawa dostawcy, a Twoja to zapytać. Skopiuj i wyślij to:

Dobra odpowiedź zawiera dane: wersję, datę, nazwę narzędzia. Jeśli usłyszysz tylko „mamy wszystko aktualne”, zapytaj jeszcze raz o wersję. Jeśli w ciągu paru dni tego nie wyjaśnią, to dobry moment, żeby pomyśleć o zmianie.

Jeśli masz VPS lub serwer dedykowany

Tu ruch należy do Ciebie lub do tego, kto go prowadzi: zainstalować aktualizacje bezpieczeństwa i zrestartować. Wybierz godzinę z małą sprzedażą, bo sklep zniknie na kilka minut, a po powrocie sprawdź, czy da się kupić.

Potem porównaj działającą wersję z tą z komunikatu Twojego systemu: Ubuntu, Debian, AlmaLinux lub Red Hat. Każdy system numeruje po swojemu: patrz zawsze na swój.

Jeśli Twój sklep działa w kontenerze

Docker i podobne, a także niektóre tanie VPS-y, które w rzeczywistości są kontenerami. Dzielą jądro maszyny, która je hostuje, więc aktualizacja od środka nic nie zmienia. Poprawkę wgrywa ten, kto administruje tą maszyną: jeśli to Twój dostawca, wyślij mu wiadomość powyżej.

Co zrobić dziś, po kolei

1. Ustal, w jakiej jesteś sytuacji: hosting współdzielony, własny serwer czy kontener. Jeśli nie wiesz, zapytaj swój hosting.
2. Zrób pełną kopię zapasową, pliki i bazę danych, i trzymaj ją poza serwerem.
3. Wyślij wiadomość do swojego hostingu albo zaktualizuj i zrestartuj, jeśli serwer jest Twój.
4. Zamknij wejścia: PHP z poprawką PHP2Shell, aktualne moduły i precz z tym, czego już nie używasz, czy to moduły, czy stare strony na Twoim koncie. Jakie PHP obsługuje każda wersja, znajdziesz w tekście jakiej wersji PHP potrzebuje PrestaShop.
5. Poszukaj oznak, że ktoś już wszedł, jak dziwne okno przy wejściu do sklepu czy pliki, których nie rozpoznajesz.

Aktualizacja zamyka drzwi, ale nie wyprasza tego, kto już jest w środku. Microsoft ostrzega, że środki ochrony mogą nie cofnąć tego, co atakujący już zrobił.

Jeśli coś wydaje Ci się podejrzane, zacznij od tekstu jak wygląda sklep zhakowany przez ClickFix i niczego nie usuwaj, dopóki ktoś tego nie sprawdzi: te pliki mówią, którędy weszli.

Dla Twojego zespołu technicznego

Działające jądro: uname -r w porównaniu z zainstalowanym (rpm -q kernel, dpkg -l 'linux-image*'). Poprawki przychodzą przez backport bez widocznej zmiany wersji: liczy się rewizja pakietu, nie numer z kernel.org.

Rewizje z poprawką Fragnesii (CVE-2026-46300): Ubuntu 26.04 7.0.0-22.22, 24.04 6.8.0-124.124, 22.04 5.15.0-181.191; AlmaLinux 8 4.18.0-553.124.3.el8_10, 9 5.14.0-611.54.5.el9_7, 10 6.12.0-124.56.3.el10_1. Każda CVE ma swoją: zainstaluj najnowszą dla swojej gałęzi.

Jeszcze nie zamknięta we wszystkich gałęziach: Vghost (CVE-2026-74580). Na 4 listopada Ubuntu podaje ją jako poprawioną w 26.04 i 22.04, a w 24.04 w toku. Red Hat umiejscawia ją głównie na hostach wirtualizacji i wymaga ona dostępu do /dev/vhost-*: do czasu poprawki nie udostępniaj tego kontenerom ani niezaufanym użytkownikom.