Linux カーネルのソケットバッファ結合不備で root 昇格（Fragnesia・KEV・悪用確認）

High（CVSS 7.8）に分類されるLinux Linux カーネル（net: skbuff / ESP 受信処理）の脆弱性です。**Linux カーネルで、一般ユーザーがページキャッシュ上のファイル内容を書き換えて root 権限を得られる欠陥がある（通称 Fragnesia）。** カーネルの修正説明によれば、`skb_try_coalesce()` がソケットバッファを結合するときに「共有フラグメント」の印（SKBFL_SHARED_FRAG）を引き継がない。そのため ESP（IPsec）の受信処理が、ページキャッシュを指すデータを共有されていないものと誤認し、その場で復号して上書きしてしまう。Ubuntu はこれを「手軽なローカル権限昇格」とし、コンテナからの脱出にもつながり得るとしている。 **悪用。** CISA は2026年10月28日に KEV へ収載した（是正期限 **2026年10月31日**）。KEV の説明では、PHP 本体の未認証 RCE である CVE-2026-109618 / CVE-2026-109619 と連鎖させ、PHP の Web シェルを仕込んで root でコマンドを実行する攻撃に使われている。つまり、Web 経由で入り込んだ攻撃者がこの欠陥で root を取る、という流れである。 **評価値。** NVD の CVSS 3.1 は **7.8 High**（ローカル・低権限）。Red Hat・Amazon Linux も 7.8（Important）、Ubuntu の優先度は High。脆弱性自体は2026年5月に公開・修正されており、各ディストリビューションの修正版はすでに出ている。

**カーネルを各ディストリビューションの修正版へ更新して再起動する。** 2026年5月以降、主要ディストリはすべて修正版を出している。是正期限が10月31日と短いので、インターネットに公開している PHP のサーバーを最優先にする。 - **Ubuntu**: 26.04 LTS は 7.0.0-22.22、24.04 LTS は 6.8.0-124.124、22.04 LTS は 5.15.0-181.191 以降（20.04 以前は対象外） - **Debian**: bookworm は DSA-6306-1、trixie は DSA-6295-1、bullseye は DLA-4606-1 / DLA-4607-1 で修正 - **Amazon Linux**: AL2（ALAS2-2026-3307）、AL2023（ALAS2023-2026-1710 ほか）で修正。ライブパッチも出ている - **RHEL**: Red Hat が RHSA を順次公開している（CVE ページで版ごとの errata を確認） **すぐ再起動できない場合。** Ubuntu は、緩和手順は Dirty Frag のときと同じだとしている（ESP 関連のカーネルモジュールを読み込ませない設定。IPsec を使っている環境では通信に影響する）。ライブパッチが使える環境（Amazon Linux など）はそれを当てる。 **連鎖の入口も塞ぐ。** KEV の悪用例は PHP の RCE（CVE-2026-109618 / CVE-2026-109619）が入口なので、PHP の更新も同時に行い、Web シェルが置かれていないかを確認する。

Linux Linux カーネル（net: skbuff / ESP 受信処理） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-46300）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/31 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。