対象：Linuxサーバーを運用している人。とくにPHP・WordPress・Laravelなどで動くWebサーバーや、コンテナを動かす環境の担当者。本記事は米CISAの発表と一覧、カーネル開発チームのCVE情報、Ubuntu・Red Hat・Debianの情報、セキュリティ企業の報告にもとづく解説で、攻撃の手順や攻撃コードは扱いません。
進行中：新しい発表があればこの記事を更新します
2026年10月29日9時（日本時間）時点まだ分かっていないこと
- 誰がどの程度狙われているか（CISAは詳細を公表していない）
- セキュリティ企業の報告にあるファイアウォールの製造元と版
- NVDによる評価
- ほかの配布元や機器メーカーの修正版カーネルの提供状況
カーネルの開発チームは2026年5月23日にCVEを公表しました。米CISAは10月28日（米国時間）にKEVへ追加し、期限を10月31日としました。Ubuntu・Red Hat・Debianの修正版カーネルはすでに出ています。
1. PHPの脆弱性（CVE-2026-109618・109619）
ウェブサーバーのユーザーとしてコードが動く。対策：PHPの更新
公開ディレクトリに残るウェブシェル
自分で置いていないPHPファイルを探す
2. カーネルの脆弱性（CVE-2026-46300）
ウェブサーバーのユーザーがrootになる。対策：カーネル更新と再起動
今日やること
PHPで動いているか、ローカルでコードを動かせる人がいるかを確かめる
CISAがPHPとの組み合わせを説明しているため、PHPを動かすWebサーバーが最優先です。共用サーバー、CIの実行環境、コンテナのホスト、信頼できない利用者やコードが動く環境も対象です。権限の低いローカルのアカウントがあれば足りるためです（当サイトの判断）。
PHPを更新する
PHP 8.5.12・8.4.27・8.3.36・8.2.35以上に上げます。詳しくは当サイトのPHPの記事を見てください。カーネルを更新しても、PHPの脆弱性は直りません。
修正版のカーネルを入れる
配布元の更新手段で入れ、下の表の版と見比べます。Ubuntu・Red Hat・Debianが修正版を出しています。
再起動して、動いているカーネルを確かめる
再起動のあとで uname -r を実行します。入れただけで動いていないパッケージは守ってくれません。CISAの期限が10月31日なので、次の定期メンテナンスを待たず今日の再起動を計画します。
ウェブシェルとroot権限を奪われた形跡を調べる
CISAはこの脆弱性にフォレンジックの初期調査を求めています。自分で置いていないPHPファイル、公開ディレクトリで最近変わったファイル、新しいユーザーアカウント、新しい定期実行、新しいSSH鍵、見覚えのない外部への通信がないかを確かめます。見つかったら、そのサーバーは侵害されたものとして扱い、サイト・サーバーが不正アクセスされていないか確かめる方法に進みます。
修正版の一覧
| カーネルの系統 | 修正版 | 発表元 |
|---|---|---|
| 5.10 | 5.10.257 | Linuxカーネルの開発チーム（CVE情報） |
| 5.15 | 5.15.208 | 同上 |
| 6.1 | 6.1.174 | 同上 |
| 6.6 | 6.6.141 | 同上 |
| 6.12 | 6.12.91 | 同上 |
| 6.18 | 6.18.33 | 同上 |
| 7.0 | 7.0.10 | 同上 |
| 7.1以降 | 影響を受けない | 同上 |
配布元は版番号を上げずに修正だけを取り込むので、配布元のカーネルは、上流の版番号ではなくパッケージの版で判断します。
| 配布元 | 修正版のカーネル |
|---|---|
| Ubuntu 26.04 LTS | 7.0.0-22.22 |
| Ubuntu 25.10 | 6.17.0-35.35 |
| Ubuntu 24.04 LTS | 6.8.0-124.124 |
| Ubuntu 22.04 LTS | 5.15.0-181.191 |
| Ubuntu 26.10、20.04以前 | 影響なしとされている（Ubuntu） |
| RHEL 8 | 4.18.0-553.125.1.el8_10 |
| RHEL 9 | 5.14.0-687.10.1.el9_8 |
| RHEL 10.2 | 6.12.0-211.16.1.el10_2 |
| Debian 12（bookworm） | 6.1.190-1（セキュリティ更新） |
| Debian 13（trixie） | 6.12.113-1（セキュリティ更新） |
Ubuntuはクラウド向けや特殊用途のカーネル（AWS・Azure・GCP・Oracle・IBM・Raspberry Pi・リアルタイム・FIPS）の修正版も出しています。実際に使っている種類は、Ubuntuのページで確かめてください。Red Hatは古いサポート期間延長版の修正も出していて、RHELのカーネルを使うOpenShiftなどの製品も影響を受けます。ネットワーク機器のようにメーカー独自のカーネルを使うものは、メーカーの更新を待つ必要があります。
何が公表されたのか
- CVE
- CVE-2026-46300（UbuntuとRed Hatが通称Fragnesiaと呼ぶ）
- 種類
- 変数の初期化漏れ（CISAの一覧ではCWE-456）。Red HatはCWE-123（任意の場所への書き込み）に分類
- 深刻度
- CVSS v3.1で7.8（AV:L/AC:L/PR:L/UI:N）。Red Hatは「重要」、Ubuntuは「高」
- 場所
- カーネルのネットワーク処理（net/core/skbuff.c の
skb_try_coalesce()）と、TCP上のIPsec ESPの受信処理 - 影響
- 権限の低いローカルのユーザーが、読み取り専用のファイルのメモリ上のキャッシュにデータを書き込め、root権限の取得につながる。Ubuntuは、コンテナからの脱出につながるおそれにも触れている
- 修正版
- 上の表を参照。CVE情報の公表は2026年5月23日
- 悪用の確認
- 米CISAが2026年10月28日（米国時間）にKEVへ「Linux Kernel Missing Initialization of a Variable Vulnerability」として登録。対応期限は10月31日。フォレンジックの初期調査が必要。ランサムウェアでの使用：不明
カーネルの開発チームの説明によると、2つのネットワークバッファーの間でデータの断片を移す処理が、「バッファーの外にあるもの（たとえばファイルのキャッシュ）と共有している」という目印を落としていました。IPsecのESP処理は、この目印を見て「その場で復号してよいか」を決めます。目印がなくなったため、ファイルのキャッシュの上に直接復号していました。修正では、この目印を引き継ぐようにしています。
権限昇格は次のように考えると分かりやすくなります。攻撃者をサーバーに入れる攻撃ではなく、入り込んだ小さな足がかりを、サーバー全体の乗っ取りに広げる攻撃です。足がかりを与えるPHPの脆弱性と組み合わさると、侵入が完成します。
この脆弱性はDirty Fragの系統と同じです。Red Hatは案内RHSB-2026-003で、Red Hatの製品に影響があるものとしてCVE-2026-43284（IPsec ESP）とCVE-2026-46300を挙げています。以前にDirty Fragの修正を入れた環境でも、この修正はまた必要です（当サイトの判断）。
悪用とPHPの組み合わせ
CISAの一覧の説明は、この脆弱性がCVE-2026-109618・CVE-2026-109619と組み合わせて、PHPのウェブシェルを仕込みroot権限でコマンドを実行できる、としています。この2つのPHPの脆弱性は10月26日にKEVへ追加され、期限は10月29日です。CISAは、誰がどう狙われたかは公表していません。
あるセキュリティ企業は10月26日、2つのPHPの脆弱性とこのカーネルの脆弱性を組み合わせて、25台のサーバー（ほとんどはインターネットに公開されたファイアウォール機器で、製造元は伏せられています）がroot権限を奪われたと報告しました。SecurityWeekも10月28日に伝えています。報告によると、PHPの脆弱性で権限を絞ったウェブサーバーのユーザーとしてコードを動かし、カーネルの脆弱性でrootになったとしています。報告では、被害は米国・日本・台湾・韓国の機器にまたがるとしています。同社は製造元に連絡したとして、製造元と版は公表していません。数字は報道で表現が違い（ファイアウォール24台と管理用サーバー1台、合わせて25台）、当サイトは元のデータを確認できていません。1社の報告として扱い、確定した事実とは考えないでください。
Web管理画面のある機器を使っている場合は、ファームウェアが対象かをメーカーに確かめ、管理画面をインターネットに公開したままにしないでください（当サイトの判断）。
すぐ更新できないときの一時しのぎ
Red Hatの案内は、esp4 と esp6 のモジュールが使われているかを確かめ（lsmod | grep -E 'esp4|esp6'）、IPsecが不要なら止める方法を挙げています。IPsecを使うVPNなどが使えなくなるため、先に確認が必要です。Red Hatは、権限のないユーザーの名前空間を制限する、もう少し範囲の狭い方法にも触れていますが、ルートレスのコンテナやサンドボックス化したブラウザーに影響することがあります。UbuntuはDirty Fragで出した手順と同じだとしています。どちらの配布元も、修正版のカーネルの代わりになるものとはしていません。正確な手順は配布元のページに従い、修正版のカーネルで起動したら止めた設定を戻します。
まだ分かっていないこと
| 項目 | 状態 |
|---|---|
| 誰が悪用しているか | CISAは悪用ありとするが、詳細は非公表。セキュリティ企業の報告は未確認 |
| 報告にあるファイアウォールの製造元 | 企業は伏せている |
| 公開された攻撃コード | ほかの報道はあるが、当サイトは未確認で、リンクも載せない |
| NVDの評価 | 執筆時点で当サイトは確認できていない |
| ほかのカーネル | 機器メーカーやクラウドのイメージは、配布元より修正の提供が遅れることがある |
出典
2026年10月29日に確認しました（CISAの一覧と発表、CVE情報、Ubuntu、Red Hat、Debian）。
- 米CISA「CISA Adds Two Known Exploited Vulnerabilities to Catalog」（2026年10月28日） — cisa.gov ／「Known Exploited Vulnerabilities Catalog」 — cisa.gov
- CVEプログラム CVE-2026-46300（Linuxカーネル開発チームの情報、Red Hatの修正版を含む） — cve.org
- NVD「CVE-2026-46300」 — nvd.nist.gov
- Ubuntu「CVE-2026-46300」 — ubuntu.com ／「Dirty Frag Linux vulnerability fixes available」 — ubuntu.com
- Red Hat「CVE-2026-46300」 — access.redhat.com ／「Dirty Frag（RHSB-2026-003）」 — access.redhat.com
- Debianセキュリティトラッカー「CVE-2026-46300」 — security-tracker.debian.org
- あるセキュリティ企業によるPHP2Shellの組み合わせ攻撃の報告（2026年10月26日、英語） — 報告ページ（英語）
- SecurityWeek「China-Linked Hackers Exploit PHP2Shell to Root Firewalls」（2026年10月28日、英語） — securityweek.com
更新履歴
2026-10-29：初版。米CISAの10月28日のKEV登録、CVE情報、Ubuntu・Red Hat・Debianの情報にもとづく。
次に読む
- 組み合わせの片方：PHP脆弱性 CVE-2026-109618・CVE-2026-109619
- サーバーの点検：サイト・サーバーが不正アクセスされていないか確かめる方法
- 優先順位の決め方：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 脆弱性が公表されたとき：脆弱性が公表されたときの対応手順
- 用語：RCE（リモートコード実行）とは ／ CVSSとは