適用對象：執行 Linux 伺服器的人，尤其是執行 PHP、WordPress 或 Laravel 的網頁伺服器，以及執行容器的團隊。本文根據 CISA 的警訊與目錄、核心專案的 CVE 紀錄、Ubuntu、Red Hat 與 Debian 的頁面，以及一家資安公司的報告撰寫。不涵蓋攻擊步驟或利用程式碼。
發展中：隨著更多資訊公布，本頁將持續更新
截至2026年10月29日 00:00 UTC尚不清楚
- 誰在受到攻擊以及範圍多大（CISA 未提供細節）
- 資安公司報告中所涉防火牆的廠商與版本
- NVD 自己的評估
- 其他發行版與設備廠商是否已發布修復核心
核心專案於2026年5月23日發布了該 CVE。CISA 於10月28日（美國時間）將其加入 KEV 目錄，期限為10月31日。Ubuntu、Red Hat 與 Debian 的發行版核心已經可用。
1. PHP 漏洞（CVE-2026-109618 / 109619）
程式碼以網頁伺服器帳號的身分執行。修復：更新 PHP
網頁目錄中留下 webshell
尋找不是您新增的 PHP 檔案
2. 核心漏洞（CVE-2026-46300）
網頁帳號變成 root。修復：更新核心並重新開機
今天該做什麼
弄清伺服器是否執行 PHP，或是否允許任何人在本機執行程式碼
執行 PHP 的網頁伺服器是首要優先事項，因為 CISA 描述的是 PHP 攻擊鏈。共用伺服器、CI 執行器、容器主機，以及任何不受信任的用戶或程式碼可以執行的機器同樣重要，因為該漏洞只需要一個本機低權限帳號（本站的觀點）。
更新 PHP
升級到 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35 或之後的版本。詳情見本站的 PHP 文章。核心更新並不能修復 PHP 漏洞。
安裝修復後的核心
使用發行版的更新工具，並將結果與下面的表格對照。Ubuntu、Red Hat 與 Debian 已發布修復核心。
重新開機，然後確認正在執行的核心
重新開機後執行 uname -r。已安裝但沒有在執行的套件並不能保護您。請把重新開機安排在今天，而不是下一個維護時段，因為 CISA 的期限是10月31日。
檢查 webshell 與 root 存取的跡象
CISA 將該條目標註為需要鑑識分流。請尋找不是您新增的 PHP 檔案、網頁目錄中最近被修改的檔案、新的用戶帳號、新的排程工作、新的 SSH 金鑰，以及不熟悉的對外連線。若發現其中任何一項，請把伺服器視為已遭入侵，並參閱如何檢查您的網站或伺服器是否遭入侵。
修復版本
| 核心系列 | 修復於 | 來源 |
|---|---|---|
| 5.10 | 5.10.257 | Linux 核心 CVE 紀錄 |
| 5.15 | 5.15.208 | Linux 核心 CVE 紀錄 |
| 6.1 | 6.1.174 | Linux 核心 CVE 紀錄 |
| 6.6 | 6.6.141 | Linux 核心 CVE 紀錄 |
| 6.12 | 6.12.91 | Linux 核心 CVE 紀錄 |
| 6.18 | 6.18.33 | Linux 核心 CVE 紀錄 |
| 7.0 | 7.0.10 | Linux 核心 CVE 紀錄 |
| 7.1 及之後 | 不受影響 | Linux 核心 CVE 紀錄 |
發行版會在不改變上游版本號的情況下回移植修復，因此對於打包的核心，請以發行版的套件版本為準，而不是只看上游版本號。
| 發行版 | 修復的核心套件 |
|---|---|
| Ubuntu 26.04 LTS | 7.0.0-22.22 |
| Ubuntu 25.10 | 6.17.0-35.35 |
| Ubuntu 24.04 LTS | 6.8.0-124.124 |
| Ubuntu 22.04 LTS | 5.15.0-181.191 |
| Ubuntu 26.10 及 20.04 和更早版本 | 列為不受影響（Ubuntu） |
| RHEL 8 | 4.18.0-553.125.1.el8_10 |
| RHEL 9 | 5.14.0-687.10.1.el9_8 |
| RHEL 10.2 | 6.12.0-211.16.1.el10_2 |
| Debian 12（bookworm） | 6.1.190-1（安全更新） |
| Debian 13（trixie） | 6.12.113-1（安全更新） |
Ubuntu 還列出了修復的雲端核心與專用核心（AWS、Azure、GCP、Oracle、IBM、Raspberry Pi、即時與 FIPS 版本），因此請在 Ubuntu 的頁面上查看您實際執行的版本。Red Hat 列出了較舊的延伸支援版本的修復，該漏洞也影響基於 RHEL 核心建置的產品，例如 OpenShift。使用廠商核心的主機（例如網路設備）需要設備廠商的更新。
揭露了什麼
- CVE
- CVE-2026-46300，Ubuntu 與 Red Hat 給它起的暱稱是 Fragnesia
- 類型
- 變數初始化缺失（CISA 目錄中為 CWE-456）。Red Hat 將其歸類為任意位置寫入條件（CWE-123）
- 嚴重程度
- CVSS v3.1 7.8（AV:L/AC:L/PR:L/UI:N）。Red Hat 評為重要（Important），Ubuntu 評為高（High）
- 位置
- 核心網路程式碼（net/core/skbuff.c 中的
skb_try_coalesce()）與 IPsec ESP-in-TCP 接收路徑 - 影響
- 低權限的本機用戶可以向唯讀檔案在記憶體中的快取副本寫入資料，這可能導致取得 root 權限。Ubuntu 還表示，這可能允許逃逸容器
- 已修復
- 見上方表格。CVE 紀錄的日期為2026年5月23日
- 已知遭利用
- 2026年10月28日（美國時間）加入 CISA 的 KEV 目錄，名稱為「Linux Kernel Missing Initialization of a Variable Vulnerability」。期限10月31日。需要鑑識分流。勒索軟體利用：未知
根據核心專案的描述，在兩個網路緩衝區之間搬移分頁資料的函式，丟掉了一個標記，該標記表示這些資料與緩衝區之外的某樣東西（例如檔案的快取副本）共用。IPsec ESP 程式碼透過檢查該標記來決定能否就地解密。標記遺失後，它就在快取的檔案資料上直接解密並覆寫。修復方法是把該標記傳遞下去。
可以這樣理解本機提權：它不會讓攻擊者進入您的伺服器，而是把一個小小的立足點變成完全控制。與能提供立足點的漏洞（例如那些 PHP 漏洞）結合起來，就完成了入侵。
這與 Red Hat 在其公告 RHSB-2026-003 中介紹的 Dirty Frag 漏洞屬於同一類，該公告列出 CVE-2026-43284（IPsec ESP）與 CVE-2026-46300 是影響 Red Hat 產品的那兩個。先前已為 Dirty Frag 修補過的主機，仍然需要這個修復（本站的觀點）。
利用情形與 PHP 攻擊鏈
CISA 目錄條目表示，該漏洞「可與 CVE-2026-109618 和 CVE-2026-109619 串聯，以植入 PHP webshell 並以 root 身分執行指令」。這兩個 PHP 漏洞於10月26日加入 KEV 目錄，期限為10月29日。CISA 沒有公布誰成為了目標，也沒有公布是如何實施的。
一家資安公司於10月26日報告指出，攻擊者把這兩個 PHP 漏洞與這個核心漏洞結合起來，取得了 25 台伺服器的 root 權限，其中大多是來自某一家未具名廠商的、面向網際網路的防火牆設備。SecurityWeek 於10月28日轉述了該報告。報告指出，PHP 漏洞提供了以受限網頁伺服器帳號身分執行程式碼的能力，而核心漏洞被用來取得 root 權限。報告稱，受影響的設備分布在美國、日本、台灣與南韓。該公司表示已通知廠商，但沒有點名廠商或版本。不同說法的措辭不一（24 台防火牆加 1 台管理伺服器，或總共 25 台），本站無法查核其底層資料。請將這些數字視為一家公司的報告，而不是既定事實。
若您執行帶有網頁管理介面的設備，請詢問廠商其韌體是否受影響，並且不要讓管理介面暴露在網際網路上（本站的觀點）。
暫時無法更新時的權宜之計
Red Hat 的公告表示，要檢查 esp4 和 esp6 模組是否在使用（lsmod | grep -E 'esp4|esp6'），如果不需要 IPsec，就封鎖它們。這會導致 IPsec（包括許多 VPN 設定）無法使用，因此請先確認。Red Hat 還描述了一種範圍更窄的做法，即限制非特權用戶命名空間，這可能影響無根（rootless）容器與沙箱瀏覽器。Ubuntu 指向它為 Dirty Frag 發布的同一流程。兩家廠商都沒有將其作為修復核心的替代方案。具體步驟請參照廠商頁面，並在開機進入修復後的核心後移除該封鎖設定。
尚不清楚的事項
| 項目 | 狀態 |
|---|---|
| 誰在利用它 | CISA 表示存在活躍利用，但沒有提供細節。資安公司的說法未經查證 |
| 報告中的防火牆廠商 | 該公司沒有點名 |
| 公開的利用程式碼 | 有其他方面的報導；本站未查證，也不提供連結 |
| NVD 評估 | 撰寫時本站未能確認 |
| 其他核心 | 設備廠商與雲端映像檔發布修復的時間可能晚於各發行版 |
來源
2026年10月29日查閱（CISA 目錄資料與警訊、CVE 紀錄、Ubuntu、Red Hat、Debian）。
- CISA，「CISA Adds Two Known Exploited Vulnerabilities to Catalog」（2026年10月28日）— cisa.gov / 已知遭利用漏洞目錄 — cisa.gov
- CVE Program 紀錄 CVE-2026-46300（Linux 核心 CNA，含 Red Hat 修復版本）— cve.org
- NVD，「CVE-2026-46300」— nvd.nist.gov
- Ubuntu，「CVE-2026-46300」— ubuntu.com / 「Dirty Frag Linux vulnerability fixes available」— ubuntu.com
- Red Hat，「CVE-2026-46300」— access.redhat.com / 「Dirty Frag (RHSB-2026-003)」— access.redhat.com
- Debian 安全追蹤器，「CVE-2026-46300」— security-tracker.debian.org
- 一家資安公司關於針對防火牆的 PHP2Shell 攻擊鏈的報告（2026年10月26日）— 該報告（英文）
- SecurityWeek，「China-Linked Hackers Exploit PHP2Shell to Root Firewalls」（2026年10月28日）— securityweek.com
更新紀錄
2026-10-29：首版，依據 CISA 於10月28日的 KEV 收錄、CVE 紀錄，以及 Ubuntu、Red Hat 與 Debian 的資訊撰寫。
延伸閱讀
- 攻擊鏈中的 PHP 部分：PHP 漏洞 CVE-2026-109618 和 CVE-2026-109619
- 檢查伺服器：如何檢查您的網站或伺服器是否遭入侵
- 決定優先順序：決定先修補什麼：CVSS、EPSS 與 KEV
- 漏洞公布時：CVE 修補手冊
- 術語：什麼是 RCE（遠端程式碼執行） / 什麼是 CVSS