Для кого: те, кто запускает серверы Linux, особенно веб-серверы с PHP, WordPress или Laravel, и команды, работающие с контейнерами. Статья основана на оповещении и каталоге CISA, записи CVE проекта ядра, страницах Ubuntu, Red Hat и Debian и сообщении компании по безопасности. В ней нет шагов атаки и кода эксплойта.
В развитии: эта страница будет обновляться по мере новых публикаций
По состоянию на 00:00 UTC 29 октября 2026 годаПока неизвестно
- Кого и насколько широко атакуют (CISA не привела подробностей)
- Производитель и версии межсетевых экранов из сообщения компании по безопасности
- Собственная оценка NVD
- Выпустили ли исправленные ядра другие дистрибутивы и производители устройств
Проект ядра опубликовал CVE 23 мая 2026 года. CISA внесла её в каталог KEV 28 октября (по времени США) со сроком 31 октября. Ядра дистрибутивов уже доступны для Ubuntu, Red Hat и Debian.
1. Уязвимость PHP (CVE-2026-109618 / 109619)
Код выполняется от имени учётной записи веб-сервера. Исправление: обновить PHP
Веб-шелл в веб-каталоге
Ищите PHP-файлы, которые вы не добавляли
2. Уязвимость ядра (CVE-2026-46300)
Веб-учётная запись становится root. Исправление: обновление ядра и перезагрузка
Что делать сегодня
Выясните, запускает ли сервер PHP или позволяет ли кому-либо выполнять код локально
Веб-серверы с PHP — первый приоритет, потому что CISA описывает цепочку через PHP. Важны также общие серверы, CI-раннеры, хосты контейнеров и любые машины, где могут работать недоверенные пользователи или код, поскольку для уязвимости достаточно локальной учётной записи с низкими привилегиями (точка зрения этого сайта).
Обновите PHP
Перейдите на PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 и новее. Подробности — в нашей статье о PHP. Обновление ядра не исправляет PHP-уязвимости.
Установите исправленное ядро
Используйте средство обновления вашего дистрибутива и сравните результат с таблицами ниже. Ubuntu, Red Hat и Debian опубликовали исправленные ядра.
Перезагрузитесь, затем проверьте работающее ядро
После перезагрузки выполните uname -r. Установленный, но не запущенный пакет вас не защищает. Планируйте перезагрузку на сегодня, а не на следующее окно обслуживания, потому что срок CISA — 31 октября.
Проверьте наличие веб-шеллов и признаков доступа root
CISA пометила эту запись как требующую криминалистического разбора. Ищите PHP-файлы, которые вы не добавляли, недавно изменённые файлы в веб-каталогах, новые учётные записи пользователей, новые запланированные задания, новые ключи SSH и незнакомые исходящие соединения. Если что-то найдёте, считайте сервер скомпрометированным и см. Как проверить, не взломан ли сервер.
Исправленные версии
| Линейка ядра | Исправлено в | Источник |
|---|---|---|
| 5.10 | 5.10.257 | Запись CVE проекта ядра Linux |
| 5.15 | 5.15.208 | Запись CVE проекта ядра Linux |
| 6.1 | 6.1.174 | Запись CVE проекта ядра Linux |
| 6.6 | 6.6.141 | Запись CVE проекта ядра Linux |
| 6.12 | 6.12.91 | Запись CVE проекта ядра Linux |
| 6.18 | 6.18.33 | Запись CVE проекта ядра Linux |
| 7.0 | 7.0.10 | Запись CVE проекта ядра Linux |
| 7.1 и новее | Не затронуто | Запись CVE проекта ядра Linux |
Дистрибутивы переносят исправления в старые версии, не меняя номер версии upstream, поэтому для ядер из пакетов ориентируйтесь на версию пакета дистрибутива, а не только на номер upstream.
| Дистрибутив | Пакет с исправленным ядром |
|---|---|
| Ubuntu 26.04 LTS | 7.0.0-22.22 |
| Ubuntu 25.10 | 6.17.0-35.35 |
| Ubuntu 24.04 LTS | 6.8.0-124.124 |
| Ubuntu 22.04 LTS | 5.15.0-181.191 |
| Ubuntu 26.10 и 20.04 и старше | Указаны как не затронутые (Ubuntu) |
| RHEL 8 | 4.18.0-553.125.1.el8_10 |
| RHEL 9 | 5.14.0-687.10.1.el9_8 |
| RHEL 10.2 | 6.12.0-211.16.1.el10_2 |
| Debian 12 (bookworm) | 6.1.190-1 (безопасность) |
| Debian 13 (trixie) | 6.12.113-1 (безопасность) |
Ubuntu также перечисляет исправленные облачные и специализированные ядра (AWS, Azure, GCP, Oracle, IBM, Raspberry Pi, реального времени и FIPS), поэтому проверьте на странице Ubuntu ту версию, которую вы действительно используете. Red Hat перечисляет исправления для более старых потоков расширенной поддержки, а уязвимость затрагивает и продукты на основе ядра RHEL, например OpenShift. Хостам с ядром производителя, например сетевым устройствам, нужно обновление от производителя устройства.
Что было раскрыто
- CVE
- CVE-2026-46300, получила название Fragnesia от Ubuntu и Red Hat
- Тип
- Отсутствие инициализации переменной (CWE-456 в каталоге CISA). Red Hat относит её к условию write-what-where (CWE-123)
- Серьёзность
- CVSS v3.1 7.8 (AV:L/AC:L/PR:L/UI:N). Red Hat оценивает как Important, Ubuntu — как High
- Где
- Сетевой код ядра (
skb_try_coalesce()в net/core/skbuff.c) и путь приёма IPsec ESP-in-TCP - Последствия
- Локальный пользователь с низкими привилегиями может записывать данные в кэшированную в памяти копию файлов только для чтения, что может привести к получению root. Ubuntu также говорит, что это может позволить выйти из контейнера
- Исправлено
- См. таблицы выше. Запись CVE датируется 23 мая 2026 года
- Известная эксплуатация
- Внесена в каталог KEV от CISA 28 октября 2026 года (по времени США) как «Linux Kernel Missing Initialization of a Variable Vulnerability». Срок 31 октября. Требуется криминалистический разбор. Использование в программах-вымогателях: неизвестно
Согласно описанию проекта ядра, функция, перемещающая страничные данные между двумя сетевыми буферами, теряла метку, говорящую, что данные используются совместно с чем-то вне буфера, например с кэшированной копией файла. Код IPsec ESP проверяет эту метку, чтобы решить, можно ли расшифровывать на месте. Когда метка терялась, он расшифровывал данные поверх кэшированных данных файла. Исправление передаёт метку дальше.
О локальном повышении привилегий можно думать так: оно не пускает атакующего на ваш сервер, а превращает небольшой плацдарм в полный контроль. В сочетании с уязвимостью, дающей плацдарм, например PHP-уязвимостями, оно завершает взлом.
Это то же семейство, что и уязвимости Dirty Frag, которые Red Hat разобрала в бюллетене RHSB-2026-003; в нём названы CVE-2026-43284 (IPsec ESP) и CVE-2026-46300 как затрагивающие продукты Red Hat. Хосты, обновлённые ранее из-за Dirty Frag, всё равно нуждаются в этом исправлении (точка зрения этого сайта).
Эксплуатация и цепочка с PHP
В записи каталога CISA сказано, что уязвимость «можно связать с CVE-2026-109618 и CVE-2026-109619, чтобы внедрить PHP-веб-шеллы и выполнять команды от имени root». Эти две PHP-уязвимости были внесены в каталог KEV 26 октября со сроком 29 октября. CISA не опубликовала, кто был целью и как.
Компания по безопасности 26 октября сообщила, что атакующие получили root на 25 серверах, в основном на подключённых к интернету устройствах межсетевых экранов одного неназванного производителя, объединив две PHP-уязвимости с этой уязвимостью ядра. SecurityWeek повторил сообщение 28 октября. В сообщении говорится, что PHP-уязвимости давали выполнение кода от имени ограниченной учётной записи веб-сервера, а уязвимость ядра использовалась для получения root. В сообщении сказано, что затронутые устройства находятся в США, Японии, Тайване и Южной Корее. Компания говорит, что уведомила производителя, и не назвала ни производителя, ни версии. В разных изложениях формулировки различаются (24 межсетевых экрана плюс один сервер управления, либо 25 в сумме), и этот сайт не смог проверить исходные данные. Относитесь к числам как к сообщению одной компании, а не как к установленному факту.
Если вы используете устройство с веб-интерфейсом управления, спросите у производителя, затронута ли его прошивка, и не оставляйте интерфейсы управления открытыми в интернете (точка зрения этого сайта).
Временные меры, если пока нельзя обновиться
В бюллетене Red Hat сказано проверить, используются ли модули esp4 и esp6 (lsmod | grep -E 'esp4|esp6'), и, если IPsec не нужен, заблокировать их. Это ломает IPsec, включая многие конфигурации VPN, поэтому сначала убедитесь. Red Hat также описывает более узкий вариант, ограничивающий пользовательские пространства имён без привилегий, что может затронуть контейнеры без root и браузеры в песочнице. Ubuntu указывает на ту же процедуру, которую опубликовала для Dirty Frag. Ни один из производителей не представляет это как замену исправленному ядру. Точные шаги смотрите на страницах производителей и снимите блокировку после загрузки исправленного ядра.
Что пока неизвестно
| Пункт | Статус |
|---|---|
| Кто её эксплуатирует | CISA говорит об активной эксплуатации, но подробностей не привела. Изложение компании по безопасности не проверено |
| Производитель межсетевых экранов в сообщении | Компания не назвала |
| Публичный код эксплойта | О нём сообщают другие; этот сайт его не проверял и не даёт на него ссылок |
| Оценка NVD | Этот сайт не подтвердил на момент написания |
| Другие ядра | Производители устройств и облачные образы могут выпустить исправления позже дистрибутивов |
Источники
Проверено 29 октября 2026 года (данные каталога и оповещение CISA, запись CVE, Ubuntu, Red Hat, Debian).
- CISA, «CISA Adds Two Known Exploited Vulnerabilities to Catalog» (28 октября 2026 года) — cisa.gov / Known Exploited Vulnerabilities Catalog — cisa.gov
- Запись программы CVE CVE-2026-46300 (CNA ядра Linux, с исправленными версиями Red Hat) — cve.org
- NVD, «CVE-2026-46300» — nvd.nist.gov
- Ubuntu, «CVE-2026-46300» — ubuntu.com / «Dirty Frag Linux vulnerability fixes available» — ubuntu.com
- Red Hat, «CVE-2026-46300» — access.redhat.com / «Dirty Frag (RHSB-2026-003)» — access.redhat.com
- Трекер безопасности Debian, «CVE-2026-46300» — security-tracker.debian.org
- Сообщение компании по безопасности о цепочке PHP2Shell против межсетевых экранов (26 октября 2026 года) — сообщение (на английском)
- SecurityWeek, «China-Linked Hackers Exploit PHP2Shell to Root Firewalls» (28 октября 2026 года) — securityweek.com
Журнал изменений
2026-10-29: первая версия на основе включения в KEV от CISA 28 октября, записи CVE и информации Ubuntu, Red Hat и Debian.
Читайте далее
- PHP-половина цепочки: PHP-уязвимости CVE-2026-109618 и CVE-2026-109619
- Проверка сервера: Как проверить, не взломан ли сервер
- Определение приоритета: Что исправлять первым: CVSS, EPSS и KEV
- Когда объявлена уязвимость: Руководство по устранению уязвимостей
- Термины: Что такое RCE (удалённое выполнение кода) / Что такое CVSS