安全指南

#漏洞 #CVE-2026-46300 #Linux #内核 #PHP #服务器 #部署

Linux内核Fragnesia（CVE-2026-46300）：CISA列为已被利用，截止日期为10月31日；请修补PHP和内核，然后重启

Fragnesia（CVE-2026-46300）是一个Linux内核本地提权漏洞，CISA已于10月28日将其加入已被利用漏洞目录。Ubuntu、RHEL和Debian的修复内核、PHP webshell利用链，以及为什么需要重启。

发布于 2026-10-29 更新于 2026-10-29 最后核实 2026-10-29 4 分钟阅读

本页目录

适用对象：运行Linux服务器的人，尤其是运行PHP、WordPress或Laravel的Web服务器，以及运行容器的团队。本文基于CISA的警示和目录、内核项目的CVE记录、Ubuntu、Red Hat和Debian的页面，以及一家安全公司的报告。不涉及攻击步骤或利用代码。

事件仍在发展：本页将随更多信息发布而更新

截至2026年10月29日00:00 UTC

尚不清楚

谁在受到攻击以及范围多大（CISA未给出细节）
安全公司报告中所涉防火墙的厂商和版本
NVD自己的评估
其他发行版和设备厂商是否已发布修复内核

内核项目于2026年5月23日发布了该CVE。CISA于10月28日（美国时间）将其加入KEV目录，截止日期为10月31日。Ubuntu、Red Hat和Debian的发行版内核已经可用。

1. PHP漏洞（CVE-2026-109618 / 109619）

代码以Web服务器账户的身份运行。修复：更新PHP

Web目录中留下webshell

查找不是您添加的PHP文件

2. 内核漏洞（CVE-2026-46300）

Web账户变成root。修复：更新内核并重启

CISA描述的利用链：每一步都需要各自的修复。修补PHP可堵住第1步，内核更新可堵住第2步。

今天该做什么

弄清服务器是否运行PHP，或是否允许任何人在本地运行代码

运行PHP的Web服务器是首要优先事项，因为CISA描述的是PHP利用链。共享服务器、CI运行器、容器主机，以及任何不受信任的用户或代码可以运行的机器同样重要，因为该漏洞只需要一个本地低权限账户（本站的观点）。

更新PHP

升级到PHP 8.5.12、8.4.27、8.3.36或8.2.35或之后的版本。详情见本站的PHP文章。内核更新并不能修复PHP漏洞。

安装修复后的内核

使用发行版的更新工具，并将结果与下面的表格对照。Ubuntu、Red Hat和Debian已发布修复内核。

重启，然后确认正在运行的内核

重启后运行uname -r。已安装但没有在运行的软件包并不能保护您。请把重启安排在今天，而不是下一个维护窗口，因为CISA的截止日期是10月31日。

检查webshell和root访问的迹象

CISA将该条目标注为需要取证分诊。请查找不是您添加的PHP文件、Web目录中最近被修改的文件、新的用户账户、新的计划任务、新的SSH密钥，以及不熟悉的出站连接。如果发现其中任何一项，请把服务器视为已被入侵，并参阅如何检查您的网站或服务器是否已被入侵。

修复版本

7.8

CVSS v3.1（内核项目、Red Hat、Ubuntu）

本地

攻击向量：需要本地低权限账户

10月28日列入

CISA KEV（截止日期10月31日）

已被利用（CISA）

利用情况（未公布细节）

内核系列	修复于	来源
5.10	5.10.257	Linux内核CVE记录
5.15	5.15.208	Linux内核CVE记录
6.1	6.1.174	Linux内核CVE记录
6.6	6.6.141	Linux内核CVE记录
6.12	6.12.91	Linux内核CVE记录
6.18	6.18.33	Linux内核CVE记录
7.0	7.0.10	Linux内核CVE记录
7.1及之后	不受影响	Linux内核CVE记录

发行版会在不改变上游版本号的情况下回移植修复，因此对于打包的内核，请以发行版的软件包版本为准，而不是只看上游版本号。

发行版	修复的内核软件包
Ubuntu 26.04 LTS	7.0.0-22.22
Ubuntu 25.10	6.17.0-35.35
Ubuntu 24.04 LTS	6.8.0-124.124
Ubuntu 22.04 LTS	5.15.0-181.191
Ubuntu 26.10及20.04和更早版本	列为不受影响（Ubuntu）
RHEL 8	4.18.0-553.125.1.el8_10
RHEL 9	5.14.0-687.10.1.el9_8
RHEL 10.2	6.12.0-211.16.1.el10_2
Debian 12（bookworm）	6.1.190-1（安全更新）
Debian 13（trixie）	6.12.113-1（安全更新）

Ubuntu还列出了修复的云内核和专用内核（AWS、Azure、GCP、Oracle、IBM、Raspberry Pi、实时和FIPS版本），因此请在Ubuntu的页面上查看您实际运行的版本。Red Hat列出了较旧的扩展支持版本的修复，该漏洞也影响基于RHEL内核构建的产品，例如OpenShift。使用厂商内核的主机（例如网络设备）需要设备厂商的更新。

披露了什么

网络缓冲区合并中的初始化缺失（CVE-2026-46300）

CVE: CVE-2026-46300，Ubuntu和Red Hat给它起的绰号是Fragnesia
类型: 变量初始化缺失（CISA目录中为CWE-456）。Red Hat将其归类为任意位置写入条件（CWE-123）
严重程度: CVSS v3.1 7.8（AV:L/AC:L/PR:L/UI:N）。Red Hat评为重要（Important），Ubuntu评为高（High）
位置: 内核网络代码（net/core/skbuff.c中的skb_try_coalesce()）和IPsec ESP-in-TCP接收路径
影响: 低权限的本地用户可以向只读文件在内存中的缓存副本写入数据，这可能导致获得root权限。Ubuntu还称，这可能允许逃逸容器
已修复: 见上方表格。CVE记录的日期为2026年5月23日
已知被利用: 2026年10月28日（美国时间）加入CISA的KEV目录，名称为“Linux Kernel Missing Initialization of a Variable Vulnerability”。截止日期10月31日。需要取证分诊。勒索软件利用：未知

据内核项目的描述，在两个网络缓冲区之间移动分页数据的函数，丢掉了一个标记，该标记表示这些数据与缓冲区之外的某样东西（例如文件的缓存副本）共享。IPsec ESP代码通过检查该标记来决定能否就地解密。标记丢失后，它就在缓存的文件数据上直接解密并覆盖。修复方法是把该标记传递下去。

可以这样理解本地提权：它不会让攻击者进入您的服务器，而是把一个小小的立足点变成完全控制。与能提供立足点的漏洞（例如那些PHP漏洞）结合起来，就完成了入侵。

这与Red Hat在其公告RHSB-2026-003中介绍的Dirty Frag漏洞属于同一类，该公告列出CVE-2026-43284（IPsec ESP）和CVE-2026-46300是影响Red Hat产品的那两个。此前已为Dirty Frag打过补丁的主机，仍然需要这个修复（本站的观点）。

利用情况与PHP利用链

CISA目录条目称，该漏洞“可与CVE-2026-109618和CVE-2026-109619串联，以植入PHP webshell并以root身份执行命令”。这两个PHP漏洞于10月26日加入KEV目录，截止日期为10月29日。CISA没有公布谁成为了目标，也没有公布是如何实施的。

一家安全公司于10月26日报告称，攻击者把这两个PHP漏洞与这个内核漏洞结合起来，获得了25台服务器的root权限，其中大多是来自某一家未具名厂商的、面向互联网的防火墙设备。SecurityWeek于10月28日转述了该报告。报告称，PHP漏洞提供了以受限Web服务器账户身份执行代码的能力，而内核漏洞被用来获得root权限。报告称，受影响的设备分布在美国、日本、台湾和韩国。该公司称已通知厂商，但没有点名厂商或版本。不同说法的措辞不一（24台防火墙加1台管理服务器，或总共25台），本站无法核查其底层数据。请将这些数字视为一家公司的报告，而不是既定事实。

如果您运行带有Web管理界面的设备，请询问厂商其固件是否受影响，并且不要让管理界面暴露在互联网上（本站的观点）。

暂时无法更新时的权宜之计

Red Hat的公告称，要检查esp4和esp6模块是否在使用（lsmod | grep -E 'esp4|esp6'），如果不需要IPsec，就阻止它们。这会导致IPsec（包括许多VPN配置）无法使用，因此请先确认。Red Hat还描述了一种范围更窄的做法，即限制非特权用户命名空间，这可能影响无根（rootless）容器和沙箱浏览器。Ubuntu指向它为Dirty Frag发布的同一流程。两家厂商都没有将其作为修复内核的替代方案。具体步骤请参照厂商页面，并在启动修复后的内核后移除该阻止设置。

尚不清楚的事项

项目	状态
谁在利用它	CISA称存在活跃利用，但没有给出细节。安全公司的说法未经核实
报告中的防火墙厂商	该公司没有点名
公开的利用代码	有其他方面的报道；本站未核实，也不提供链接
NVD评估	撰写时本站未能确认
其他内核	设备厂商和云镜像发布修复的时间可能晚于各发行版

信息来源

2026年10月29日查看（CISA目录数据和警示、CVE记录、Ubuntu、Red Hat、Debian）。

CISA，《CISA Adds Two Known Exploited Vulnerabilities to Catalog》（2026年10月28日）— cisa.gov / 已知被利用漏洞目录 — cisa.gov
CVE Program记录CVE-2026-46300（Linux内核CNA，含Red Hat修复版本）— cve.org
NVD，《CVE-2026-46300》— nvd.nist.gov
Ubuntu，《CVE-2026-46300》— ubuntu.com / 《Dirty Frag Linux vulnerability fixes available》— ubuntu.com
Red Hat，《CVE-2026-46300》— access.redhat.com / 《Dirty Frag (RHSB-2026-003)》— access.redhat.com
Debian安全跟踪器，《CVE-2026-46300》— security-tracker.debian.org
一家安全公司关于针对防火墙的PHP2Shell利用链的报告（2026年10月26日）— 该报告（英文）
SecurityWeek，《China-Linked Hackers Exploit PHP2Shell to Root Firewalls》（2026年10月28日）— securityweek.com

更新记录

2026-10-29：首版，基于CISA于10月28日的KEV收录、CVE记录，以及Ubuntu、Red Hat和Debian的信息。

FAQ

QFragnesia（CVE-2026-46300）是什么？

它是Linux内核网络代码中的一个漏洞。内核将接收到的数据从一个缓冲区合并到另一个缓冲区时，丢掉了一个标记，该标记表示这些数据与内存中某个文件的缓存副本共享。IPsec ESP-in-TCP代码随后信任了缺失的标记并就地解密，这可能覆盖只读文件的缓存副本。低权限的本地用户可以借此获得root权限。其评级为CVSS v3.1 7.8（本地攻击向量）。

Q什么是本地提权？如果需要先有本地访问权限，为什么还重要？

它把一个小小的立足点变成完全控制。攻击者如果让代码以低权限账户运行（例如利用网站漏洞后得到的Web服务器用户），就可以借此成为root。CISA称，这个漏洞可与PHP漏洞CVE-2026-109618和CVE-2026-109619串联，植入PHP webshell并以root身份执行命令，因此仅靠一个PHP漏洞，攻击不再止步于Web服务器账户。

Q哪些内核版本已经修复？

内核项目列出的修复版本为5.10.257、5.15.208、6.1.174、6.6.141、6.12.91、6.18.33和7.0.10，7.1及之后的版本没有该漏洞。发行版会回移植修复，因此请以发行版的软件包版本为准：Ubuntu 26.04 7.0.0-22.22，25.10 6.17.0-35.35，24.04 6.8.0-124.124，22.04 5.15.0-181.191；RHEL 8 4.18.0-553.125.1.el8_10，RHEL 9 5.14.0-687.10.1.el9_8，RHEL 10.2 6.12.0-211.16.1.el10_2；Debian bookworm 6.1.190-1，trixie 6.12.113-1（安全更新）。

Q需要重启吗？

需要。安装修复后的内核软件包，并不会改变正在运行的内核。请重启进入新内核，并用uname -r确认。Ubuntu针对相关的Dirty Frag漏洞的指引也说，安装修复内核需要重启。

Q它正在被利用吗？

请视为已被利用。CISA于2026年10月28日（美国时间）基于存在活跃利用的证据，将其加入KEV目录，并标注需要取证分诊。CISA没有说明谁成为了目标。一家安全公司于10月26日报告称，攻击者利用PHP漏洞加上这个内核漏洞，获得了25台服务器（大多是防火墙）的root权限；本站未独立核实该报告。

Q我可以阻止受影响的模块，而不是更新吗？

只能作为权宜之计。Red Hat的公告描述了阻止esp4和esp6模块的做法，这会导致IPsec无法使用，并称首先要检查是否在使用IPsec。Ubuntu针对相关的Dirty Frag的指引，为暂时无法更新内核的系统描述了类似的阻止方法。在运行修复后的内核之后，请移除该阻止设置。