Fragnesia：CISA が PHP2Shell との連鎖で root 化できるとする Linux カーネルの脆弱性

保存済みの出典と照合した最終確認日: 2026年10月29日

何が起きたか

• CISA は 2026年10月28日 に CVE-2026-46300 を Known Exploited Vulnerabilities カタログに追加し、Linux Kernel Missing Initialization of a Variable Vulnerability という名前で掲載しました。カタログに記載された期限は 2026年10月31日 です。

  出典: CISA Known Exploited Vulnerabilities catalog

  引用文

  "cveID": "CVE-2026-46300", "vendorProject": "Linux", "product": "Kernel", "vulnerabilityName": "Linux Kernel Missing Initialization of a Variable Vulnerability", "dateAdded": "2026-10-28",

  "dueDate": "2026-10-31",

• カタログの記載によると、この脆弱性は CVE-2026-109618 および CVE-2026-109619 と連鎖させて、PHP の Web シェルを埋め込み、root としてコマンドを実行できます。この2つが PHP2Shell の脆弱性です。

  出典: CISA Known Exploited Vulnerabilities catalog · イベントページ: PHP2Shell

  引用文

  This vulnerability can be chained with CVE-2026-109618 and CVE-2026-109619 to implant PHP webshells and run commands as root.

• カタログは、このエントリーについてフォレンジックトリアージが必要であると示しています。必要な対応では、CISA の Forensics Triage Requirements が参照されています。

  出典: CISA Known Exploited Vulnerabilities catalog

  引用文

  "forensicTriage": "Yes",

  ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes).

• Ubuntu セキュリティチームは、Linux カーネルの XFRM ESP-in-TCP サブシステムにあるこの欠陥が Fragnesia として知られており、ローカルの攻撃者が権限昇格、場合によってはコンテナからの脱出に使えるとしています。

  出典: Ubuntu Security Team

  引用文

  It was discovered that a logic flaw existed in the XFRM ESP-in-TCP subsystem in the Linux kernel when handling socket buffer fragments. This flaw is known as Fragnesia. A local attacker could use this to escalate privileges, or possibly escape a container.

• Red Hat の CVE ページも同じ脆弱性を Fragnesia の名前で扱い、権限の低いローカルの攻撃者が重要なシステムファイルを上書きして root 権限を得られると説明しています。緩和手順については Red Hat のセキュリティバレチン RHSB-2026-003 を案内しています。

  出典: Red Hat Product Security

  引用文

  A low-privileged local attacker can exploit this flaw in the Linux kernel's XFRM ESP-in-TCP subsystem to gain root privileges by overwriting sensitive system files.

  Security Bulletin https://access.redhat.com/security/vulnerabilities/RHSB-2026-003

  kernel: "Fragnesia" is a variant of Dirty Frag vulnerability in the ESP/XFRM leading to Local Privilege Escalation (LPE) vulnerability in the Linux kernel

影響を受けるカーネルと修正版

カーネルのバージョンは、Linux カーネルの CNA が書いた CVE レコードによるものです。ディストリビューションは修正を取り込んで配布するため、ディストリビューションが示すバージョンは上流と異なることがあります。ディストリビューションのカーネルについては、以下の各ディストリビューションの表を使ってください。ここに載せていないベンダーは、このページの対象外です。

• CVE レコードは、Linux カーネルの 3.9 以降を影響対象として挙げています。それより前のカーネルは影響なしとされています。

  出典: CVE Program (record by the Linux kernel CNA)

  引用文

  { "version": "3.9", "status": "affected" }

  { "version": "0", "lessThan": "3.9", "status": "unaffected", "versionType": "semver" }

• CVE レコードは、次の上流 stable リリースを影響なし（修正を含む）として挙げています。5.10 系は 5.10.257、5.15 系は 5.15.208、6.1 系は 6.1.174、6.6 系は 6.6.141 です。

  出典: CVE Program (record by the Linux kernel CNA)

  引用文

  { "version": "5.10.257", "lessThanOrEqual": "5.10.*", "status": "unaffected", "versionType": "semver" }

  { "version": "5.15.208", "lessThanOrEqual": "5.15.*", "status": "unaffected", "versionType": "semver" }

  { "version": "6.1.174", "lessThanOrEqual": "6.1.*", "status": "unaffected", "versionType": "semver" }

  { "version": "6.6.141", "lessThanOrEqual": "6.6.*", "status": "unaffected", "versionType": "semver" }

• 同じく、6.12 系は 6.12.91、6.18 系は 6.18.33、7.0 系は 7.0.10 を影響なしとし、7.1 のリリースも影響なしとしています。

  出典: CVE Program (record by the Linux kernel CNA)

  引用文

  { "version": "6.12.91", "lessThanOrEqual": "6.12.*", "status": "unaffected", "versionType": "semver" }

  { "version": "6.18.33", "lessThanOrEqual": "6.18.*", "status": "unaffected", "versionType": "semver" }

  { "version": "7.0.10", "lessThanOrEqual": "7.0.*", "status": "unaffected", "versionType": "semver" }

  { "version": "7.1", "lessThanOrEqual": "*", "status": "unaffected", "versionType": "original_commit_for_fix" }

• Ubuntu は汎用の linux カーネルパッケージについて、修正版として26.04 LTS は 7.0.0-22.22、25.10 は 6.17.0-35.35、24.04 LTS は 6.8.0-124.124、22.04 LTS は 5.15.0-181.191 を挙げています。20.04 LTS と 26.10 はこのパッケージについては影響なしとされています。他のカーネルパッケージには別の行があり、次の記述がその例です。

  出典: Ubuntu Security Team

  引用文

  linux 26.10 stonking Not affected 26.04 LTS resolute Fixed in 7.0.0-22.22 25.10 questing Fixed in 6.17.0-35.35 24.04 LTS noble Fixed in 6.8.0-124.124 22.04 LTS jammy Fixed in 5.15.0-181.191 20.04 LTS focal Not affected

• Debian Security Tracker は修正済みのソースパッケージとして、bullseye は 5.10.257-1（アドバイザリ DLA-4606-1）、bookworm は 6.1.174-1（アドバイザリ DSA-6306-1）、trixie は 6.12.90-1（アドバイザリ DSA-6295-1）を挙げています。

  出典: Debian Security Tracker

  引用文

  linux source bullseye 5.10.257-1 DLA-4606-1 linux source bookworm 6.1.174-1 DSA-6306-1 linux source trixie 6.12.90-1 DSA-6295-1

• Ubuntu 20.04 LTS では、汎用の linux パッケージは影響なしですが、ハードウェアイネーブルメントカーネルのパッケージ linux-hwe-5.15 は 5.15.0-181.191~20.04.1 で修正済みとされ、修正は Ubuntu Pro で提供されます。

  出典: Ubuntu Security Team

  引用文

  linux-hwe-5.15 26.10 stonking Not in release 26.04 LTS resolute Not in release 25.10 questing Not in release 24.04 LTS noble Not in release 22.04 LTS jammy Not in release 20.04 LTS focal Fixed in 5.15.0-181.191~20.04.1 Ubuntu Pro Fix available with Ubuntu Pro .

• CVE レコードには Red Hat 自身のデータが含まれています。影響なし（修正を含む）のカーネルパッケージとして、Red Hat Enterprise Linux 10 は 0:6.12.0-211.16.1.el10_2、Red Hat Enterprise Linux 10.0 Extended Update Support は 0:6.12.0-55.75.1.el10_0、Red Hat Enterprise Linux 8 は 0:4.18.0-553.125.1.el8_10 が挙げられています。

  出典: CVE Program (record by the Linux kernel CNA; Red Hat data)

  引用文

  "product": "Red Hat Enterprise Linux 10", "vendor": "Red Hat", "versions": [ { "lessThan": "*", "status": "unaffected", "version": "0:6.12.0-211.16.1.el10_2", "versionType": "rpm" } ]

  "product": "Red Hat Enterprise Linux 10.0 Extended Update Support", "vendor": "Red Hat", "versions": [ { "lessThan": "*", "status": "unaffected", "version": "0:6.12.0-55.75.1.el10_0", "versionType": "rpm" } ]

  "product": "Red Hat Enterprise Linux 8", "vendor": "Red Hat", "versions": [ { "lessThan": "*", "status": "unaffected", "version": "0:4.18.0-553.125.1.el8_10", "versionType": "rpm" } ]

• SUSE は kernel-default パッケージについて、SUSE Linux Enterprise Server 15 SP7 と SUSE Linux Enterprise Server 16.0 を「Released」、SUSE Linux Enterprise Server 15 SP1-LTSS を「Affected」（影響あり）としています。製品ごとの修正済みパッケージのバージョンは SUSE の表にあり、このページでは繰り返しません。

  出典: SUSE

  引用文

  SUSE Linux Enterprise Server 15 SP7 kernel-default Released

  SUSE Linux Enterprise Server 16.0 kernel-default Released

  SUSE Linux Enterprise Server 15 SP1-LTSS kernel-default Affected

パッチを当てる前に、すでに侵害されていないか確認する

以下のコマンドは読み取りだけを行い、ホストを変更しません。これらで何も見つからなくても、ホストが無事だという証明にはなりません。CISA のガイダンスは、まず証拠を集めてからパッチを当てることです。パッチ適用や再起動で証拠が失われることがあるためです。

• CISA のフォレンジックトリアージのガイダンスは、可能な限り証拠を収集する前にシステムを変更したり修復したりしないこと、そして侵害があったかどうかを判断するために証拠の分析を始めることを求めています。

  出典: CISA (BOD 26-04 implementation guidance)

  引用文

  Do not alter or remediate systems prior to evidence/artifact collection when possible.

  Begin evidence analysis to determine if a compromise occurred.

• 同じガイダンスは、封じ込めを早まって始めると重要な証拠を壊しかねないと警告し、影響を受けた、または受けた疑いのあるシステムを隔離するよう求めています。

  出典: CISA (BOD 26-04 implementation guidance)

  引用文

  Premature containment can destroy vital evidence.

  Isolate impacted and suspected impacted systems and network infrastructure.

これらのコマンドはお使いのマシン上で実行され、そこにインストールされているもの（バージョン、発行者、有効期間、信頼ストアのエントリ）を読むだけです。PatchBell があなたのシステムをスキャンすることはありません。

uname -r

find /var/www -type f -name '*.php' -mtime -10 -ls

1. PHP アプリケーションを動かしている Linux ホストと、管理者以外のユーザーがコードを実行できるホストを洗い出します。CISA が説明する連鎖には、PHP とこのカーネルの欠陥の両方が必要です。
2. 各ホストで、下の最初のコマンドでカーネルのリリースを確認し、上の表と比べます。ディストリビューションのカーネルは、上流ではなくそのディストリビューションの表を使ってください。
3. パッチ適用や再起動の前に、Web サーバーのログ、認証ログ、下のコマンドの出力を、ホストの外に複製します。再起動するとメモリと、メモリにしかなかったものは失われます。
4. 下の2つ目のコマンドで、各 Web ルート配下で最近変更された PHP ファイルを一覧にし（パスは自分の Web ルートに変えてください）、直近のデプロイの内容と照らし合わせます。デプロイした覚えのない PHP ファイルは、理由が説明できなければなりません。
5. 認証ログで、チームの誰にも説明できないログインや、root で実行されたコマンドがないか確認します。
6. 説明できないものがあれば、ファイルを消さずにホストを隔離し、インシデントとして報告します。証拠を保全してから、信頼できるソースから再構築してください。
7. そのうえで、PHP2Shell について PHP2Shell のイベントページに載っている修正版の PHP と、ディストリビューションが出している修正済みカーネルを入れ、新しいカーネルで再起動します。

関連するイベントページ

• PHP2Shell