2026-10-29
Linuxカーネル脆弱性 Fragnesia（CVE-2026-46300）｜米CISAが悪用を確認、期限は10月31日。PHPとカーネルを更新して再起動
CVE-2026-46300（通称Fragnesia）は、権限の低いローカルのユーザーがroot権限を得られるLinuxカーネルの脆弱性です（CVSS v3.1で7.8、攻撃元区分はローカル）。カーネルがネットワークの受信データの断片をほかのバッファーへ移すとき、「ファイルのメモリ上の写しと共有している」という目印が消えることがあり、IPsecのESP処理が、読み取り専用のファイルのキャッシュを上書きして復号してしまいます。カーネルの開発チームは2026年5月23日にCVEを公表し、修正は5.10.257・5.15.208・6.1.174・6.6.141・6.12.91・6.18.33・7.0.10以降に入りました。米CISAは2026年10月28日（米国時間）、悪用の証拠があるとして悪用が確認された脆弱性の一覧（KEV）に追加し、米連邦政府機関の期限を10月31日としました。CISAの説明は、PHPの脆弱性CVE-2026-109618・CVE-2026-109619と組み合わせて、PHPのウェブシェルを仕込みroot権限でコマンドを実行できる、としています。あるセキュリティ企業はこの組み合わせで25台のサーバー（大半はファイアウォール）がroot権限を奪われたと報告し、SecurityWeekも伝えていますが、当サイトは数字を独自には確認できていません。Ubuntu・Red Hat・Debianは修正版のカーネルを出していて、更新は再起動してはじめて効きます。当サイトの結論：LinuxでPHPのサイトを動かしているなら、PHPとカーネルを更新して再起動し、ウェブシェルの有無を調べる。