VulnPulse接続中…
緊急脆弱性アドバイザリLinuxPHP

[悪用確認] CVE-2026-46300: Linux Kernel Missing Initialization of a Variable Vulnerability

Linux Kernel Linux Kernel contains a missing initialization of a variable vulnerability that could allow for unintended modification of page-cache-backed data via failure to preserve the shared-fragment marker during socket buffer coalescing, causing ESP input processing to decrypt shared fragments in place. This vulnerability can be chained with CVE-2026-109618 and CVE-2026-109619 to implant PHP webshells and run commands as root. 対応: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines. (期限 2026-10-31)

CISA Known Exploited Vulnerabilitiesで読む

VulnPulse の解説

Linux カーネルの「Fragnesia」が KEV 入り: 一般ユーザーから root へ上がれる穴を、PHP の穴と組み合わせた攻撃が報告

読み取り専用ファイルのメモリ上の中身を一般ユーザーが書き換えられるカーネルの欠陥 CVE-2026-46300 を、CISA が 2026-10-28 に「悪用を確認」として KEV に載せた。

影響を受ける人

Linux カーネルを使うサーバー・VM・コンテナホストと、Linux で動く機器。NVD の CPE では、修正が入る境目は 5.15.208・6.1.174・6.6.141・6.12.91・6.18.33・7.0.10 (これ未満が対象)。3.9 から 5.10.257 までも対象として載っているが、5.10 系の修正版は示されていない。ディストリの状況 (各社の告知): Red Hat は RHEL 8・9・10 系に修正を出し、RHEL 6・7 は対象外。Ubuntu は 22.04・24.04・25.10・26.04 に修正版があり、20.04 以前の標準カーネルは対象外 (20.04 の HWE 5.15 カーネルは Ubuntu Pro で修正)。Amazon Linux 2 と Amazon Linux 2023 には 2026-05-15 付で修正版が出ている。Windows・macOS だけの環境は関係しない。

ひとことで言うと

共用の資料には「書き込むなら写しを取ってから」という付せんが貼ってある。束ね直す作業の途中でこの付せんがはがれ、次の担当者が原本に直接書き込んでしまう。原本が「誰が管理者になれるか」を決める書類だと、書き換えた人がそのまま管理者になれる。

仕組み

受信したパケットのデータをまとめる処理 (skb_try_coalesce) で、「この断片は他と共有している」という目印 (SKBFL_SHARED_FRAG) が引き継がれない。IPsec の ESP を受け取る処理はこの目印を見て「写しを作らずにその場で復号してよいか」を決めるため、目印が消えると、ファイルの内容を保持しているページキャッシュの上で直接復号が行われる。Red Hat によると、権限の低いローカルの利用者が ESP-in-TCP の経路を使って読み取り専用ファイルのページキャッシュに任意の値を書き込み、root を得られる。書き換わるのはメモリ上の写しで、ディスク上のファイルは変わらない。V12 の William Bowling が見つけたもので、2026-05-13 に oss-security で共有され、実証コードも同時に出回った。同じ ESP の経路を使う「Dirty Frag」の仲間だが別の欠陥で、修正も別に必要になる。NVD の CVSS は 7.8 (ローカル)。単独ではネットワーク越しに直接は使えず、先に何らかの方法でそのホスト上でプログラムを動かせることが前提になる。

攻撃の流れ

  1. Dream Research の 2026-10-26 の報告による流れ。攻撃者はまず、インターネットに出ていたファイアウォールの管理用 Web サーバーで PHP 本体の 2 件の欠陥 CVE-2026-109618・CVE-2026-109619 (通称 PHP2Shell) を突き、Web サーバーの低い権限でコマンドを動かした
  2. 次に同じ機器の上で Fragnesia を使い、su コマンドの認証設定 (PAM) のメモリ上の中身を書き換えて、パスワードなしで root になった
  3. root 権限の Web シェルを置き、後から出入りできるようにした
  4. CISA の KEV にも、この欠陥を PHP2Shell と組み合わせて Web シェルを置き、root でコマンドを動かせるという説明が載っている。狙われた製品のベンダー名は Dream が伏せている

やること

  • Linux の管理者: ディストリの告知で CVE-2026-46300 の修正が入ったカーネルを確かめて入れ、再起動する。Dirty Frag の修正だけでは足りないので、「5 月に更新した」ではなく CVE 番号で確かめる
  • すぐ更新できない管理者: Ubuntu などが案内する Dirty Frag と同じ回避策 (カーネルモジュール esp4・esp6・rxrpc を読み込ませない) を検討する。IPsec の VPN (strongSwan など) と AFS は使えなくなる
  • PHP を公開している運用者: PHP を系列ごとに 8.2.35・8.3.36・8.4.27・8.5.12 以上へ上げる。8.1 以前は PHP 公式の更新が無いので、ディストリの修正か移行を選ぶ
  • Linux ベースのファイアウォール・VPN 機器の担当者: ベンダーに PHP2Shell と CVE-2026-46300 への対応状況を問い合わせ、管理画面をインターネットから見えなくする
  • セキュリティ担当: PHP を外に出している Linux ホストで、公開ディレクトリの見慣れない PHP ファイル、/etc/pam.d/su の中身、知らない自動起動の設定を確かめる。再起動でメモリ上の改ざんは消えるが、置かれたファイルはディスクに残るので別に消す
  • 米国の連邦機関: CISA の期限は 2026-10-31。KEV ではこの CVE にフォレンジックの初期調査 (BOD 26-04) も求めている

まだ分かっていないこと

  • 狙われたファイアウォールのベンダー名と版 (Dream は伏せており、ベンダーには知らせたとしている)
  • VulnPulse が確かめた範囲では、Dream の報告のほかに同じ連鎖の悪用を詳しく示した公表は無い。CISA は KEV に載せたが、根拠の中身は出していない
  • ランサムウェアでの利用は KEV で「不明」
  • 5.10 系カーネルの修正版 (NVD の CPE に境目が無い)

出典

元記事と公開情報をもとに、VulnPulse が独自の言葉でまとめた解説です。正確な情報は出典をご確認ください。 更新:

CVECVE-2026-46300
情報源CISA Known Exploited Vulnerabilities
取得日時2026/10/29 04:58
データMarkdown　JSON

2026/10/29 04:58、CISA Known Exploited Vulnerabilitiesが「[悪用確認] CVE-2026-46300: Linux Kernel Missing Initialization of a Variable Vulnerability」を公開しました (種別: 脆弱性アドバイザリ)。重大度は「緊急」(critical) です。関連する技術: Linux、PHP。CVE: CVE-2026-46300。