ZeroKai
新規登録
脅威

Linuxカーネルの権限昇格「Fragnesia」（CVE-2026-46300）：CISAが悪用確認、10月31日までに対処を

サーバーにすでに入れた攻撃者がrootになるおそれがあるカーネルの欠陥です。CISAが悪用を確認し、PHP2Shellとの連鎖も報告されています。Ubuntuなら修正カーネルへの更新と再起動が本対策です。

公開日約9分で読めます

写真：Brett Sayles / Pexels

この記事の要点（経営者向け）

本記事の情報は、2026年10月29日午前（日本時間）時点のものです。各社の対応状況は刻々と変わるため、最新の状況は末尾の出典をご確認ください。

  • 何が起きたか

    Linuxカーネルのソケットバッファ結合処理で、「共有フラグメント」の印が失われる欠陥（CVE-2026-46300、通称Fragnesia）があります。その結果、ESP（IPsec）の復号がページキャッシュ上のデータをその場で書き換えてしまい、ローカルの権限昇格（場合によってはコンテナからの脱出）につながり得ます。NVDの深刻度はCVSS 7.8（高）です。[1][2][3]

  • なぜ今週中か

    米CISAは2026年10月28日、このCVEを悪用が確認された脆弱性（KEV）カタログに追加し、連邦機関の対処期限を10月31日としました。フォレンジックのトリアージも求められています。公開PoCはespintcp／ESP系モジュールを必要とします。[4][3][1]

  • PHP2Shellとの連鎖

    CISAは、本脆弱性がCVE-2026-109618およびCVE-2026-109619（PHP2Shell）と連鎖し、PHPのWebシェルを仕込みrootでコマンドを実行し得ると記しています。報道によると、中国系とみられる攻撃者が10月23〜24日にインターネット公開のファイアウォールへこの連鎖を使い、24台にルート権限のPHP Webシェルを設置したとされています。[3][5]

  • 今日やること

    Ubuntuサーバーでは `uname -r` で稼働中のカーネルを確認し、修正版未満なら更新して再起動してください。すぐ更新できない場合は、Ubuntuが示すとおり esp4／esp6 モジュールの読み込みを止める緩和があります（IPsec VPNに影響し得ます）。Dirty Frag向けに同じ緩和を入れ済みなら、Fragnesiaにも有効です。[2]

Fragnesiaとは何か

Ubuntuセキュリティチームによると、XFRMのESP-in-TCPまわりのソケットバッファ断片の扱いにある論理欠陥で、「Fragnesia」と呼ばれます。ローカルの攻撃者が権限を昇格させたり、コンテナから脱出したりするおそれがあります。Ubuntuは優先度を「高」とし、「容易なローカル権限昇格」と説明しています。[1]

技術的には、`skb_try_coalesce()` がページ付きフラグメントを付け替えるとき、`SKBFL_SHARED_FRAG` の印が失われることがあります。印がないと、ESP入力処理が共有フラグメントをその場で復号してしまい、ページキャッシュ上のデータを意図せず書き換え得ます。[1][3]

図 1

PHP2Shellからroot Webシェルまでの流れ（概念）

外向きのPHPの欠陥でサーバー上の実行権限を得たあと、Fragnesiaでrootへ上げ、永続化のためにPHP Webシェルを置く、という連鎖がCISAと報道で示されています。

  1. 011. 外向きの入口

    PHP2Shell（CVE-2026-109618／109619）などで、認証なしにサーバー上でコード実行

  2. 022. ローカル権限昇格

    Fragnesia（CVE-2026-46300）で一般権限からrootへ

  3. 033. 永続化

    root権限のPHP Webシェルを設置し、以後の操作を続ける

注: 攻撃コードや再現手順は掲載しません。流れの理解用です。出典はCISA KEVとSecurityWeek（Dream報告の報道）。

出典: [3], [5]

影響を受けるUbuntuと修正版

UbuntuのCVEページとFragnesia向けブログによると、標準の `linux` パッケージでは次のとおりです。クラウド向け（AWS／GCP／Azure／Oracleなど）やHWEカーネルにもそれぞれ修正版があります。詳細はUbuntuの表を確認してください。[1][2]

図 2

Ubuntuリリースごとの修正カーネル（linux）

24.04 LTS（noble）は6.8.0-124.124、22.04 LTS（jammy）は5.15.0-181.191、25.10（questing）は6.17.0-35.35、26.04 LTS（resolute）は7.0.0-22.22で修正。20.04以前の標準5.4系などは実質影響なし。

Ubuntuリリースごとの修正カーネル（linux）
修正版（linux）状態注意点
26.04 LTS resolute7.0.0-22.22修正済みパッケージあり更新＋再起動
25.10 questing6.17.0-35.35修正済みパッケージあり更新＋再起動
24.04 LTS noble6.8.0-124.124修正済みパッケージありHWE 6.17系は6.17.0-35.35〜
22.04 LTS jammy5.15.0-181.191修正済みパッケージありHWE 6.8系は6.8.0-124.124〜
20.04 LTS focal（5.4）—標準5.4は影響なしHWE 5.15のみ要確認
18.04以前—影響なしPoCに必要なモジュールなし

注: Ubuntu CVEページおよびFragnesiaブログ（2026年10月29日朝に確認）。PoCはespintcpモジュールを必要とし、そのモジュールは上流で2019年11月（v5.6）以降のため、それより古いカーネルは実質影響を受けないとUbuntuは注記しています。

出典: [1], [2]

経緯

図 3

公開からKEV登録まで

2026年5月にFragnesiaが公開・修正され、10月下旬にPHP2Shell連鎖の攻撃が観測され、10月28日にCISAがKEVへ追加しました。

  • Ubuntu・カーネル
  • 攻撃の観測
  • 公的機関

  1. 2026年5月13日・Ubuntu・カーネル

    Fragnesiaが公開開示

    Ubuntuが緩和ブログを公開

  2. 2026年5月23日・Ubuntu・カーネル

    NVD／Ubuntu CVEの掲載日

    CVE-2026-46300

  3. 2026年10月21日・Ubuntu・カーネル

    PHP2Shellの修正版が公開

    CVE-2026-109618／109619

  4. 2026年10月23〜24日・攻撃の観測

    ファイアウォールへ連鎖攻撃

    報道：24台にroot Webシェル

  5. 2026年10月28日・公的機関

    CISAがKEVに追加

    対処期限 2026-10-31、フォレンジック要

  6. 2026年10月29日・公的機関

    本記事の確認時点

    日本のUbuntu VPS・共用も今週中の確認を

注: 日付は各発表に記載されたものです。NVD掲載日はUbuntu CVEページのPublication date（2026-05-23）に合わせています。

出典: [2], [1], [4], [3], [5]

確認と対処の流れ

図 4

Ubuntuサーバーでの確認から再起動まで

稼働中カーネルを確認し、修正版未満なら apt で更新して再起動。すぐ更新できないときだけモジュール遮断の緩和を検討します。

  1. 稼働中のカーネルを確認

    `uname -r` と `dpkg -l 'linux-image*' | grep ^ii` で、上の表の修正版と比較する

    すでに修正版以上

    再起動済みならカーネル面は完了。PHP2Shell側の更新も別途確認する

    はい

  2. 修正カーネルを入れる

    `sudo apt update && sudo apt upgrade`（または linux-meta 系のピンポイント更新）のあと `sudo reboot`

    はい

  3. 再起動後にもう一度確認

    `uname -r` が修正版以上であることを記録する。未更新の間だけ esp4／esp6 を遮断する緩和も選択肢

注: 手順の文言はUbuntu公式ブログに沿っています。IPsec（StrongSwanなど）を使っている場合、緩和はVPN機能に影響し得ます。

出典: [2]

  1. 自社と委託先のUbuntu VPS・共用・クラウドインスタンスの一覧を作る
  2. それぞれで `uname -r` を取り、修正版と比較する
  3. 未修正なら更新して再起動し、再起動後の `uname -r` を記録する
  4. PHPを動かしているホストは、PHP2Shellの修正版もあわせて確認する
  5. インターネットに出ている管理画面や検証環境のホスト名を洗い、委託先にカーネルとPHPの状態を照会する

日本のUbuntu VPS・共用にとっての意味

日本の多くの企業が、国内レンタルサーバーやVPS上のUbuntuでWebサイトや社内ツールを動かしています。Fragnesiaは「すでにサーバーに入れたあと」の権限昇格なので、共用やVPSでPHPやCMSを公開している場合、PHP2Shellなどの入口とセットで危険度が上がります。CISAのKEV期限は米国連邦向けですが、悪用が確認されたという事実自体は、日本の事業者にも同じ優先度の合図です。[3][5]

よくある質問

印刷用チェックリスト

  • 自社と委託先のUbuntuサーバー（VPS・共用・クラウド）を一覧にした
  • 各ホストの `uname -r` を取得し、Ubuntuの修正版と比較した
  • 未修正ホストにカーネル更新を入れ、再起動後の版を記録した
  • すぐ更新できないホストには、IPsec影響を確認したうえでモジュール遮断の緩和を検討した
  • PHPを動かすホストでPHP2Shell修正版も確認した
  • レンタルサーバー／VPS事業者にカーネルと再起動の状態を照会した
  • 不審なWebシェルやアカウントの有無を確認する担当と期限を決めた

ZeroKaiでできること

カーネル更新の前にまず必要なのは、「どのホストが外から見えているか」の一覧です。ZeroKaiは、ドメインを入力するだけで、証明書の透明性ログに記録されたホスト名を一覧にし、管理画面や検証環境に見える名前を目立たせます。所有権を確認したドメインでは、Shodanが観測したリモートアクセスなどの公開サービスも表示します。コンソールではCISAのKEVカタログも参照できます。

出典

本文中の［番号］は、以下の出典に対応しています。 リンク先は2026年10月13日に確認しました。

  1. [1]Ubuntu「CVE-2026-46300（英語）」、2026年5月23日
  2. [2]Ubuntu「Fragnesia Linux kernel local privilege escalation vulnerability mitigations（英語）」、2026年5月14日
  3. [3]米CISA「Known Exploited Vulnerabilities Catalog — CVE-2026-46300（英語）」、2026年10月28日
  4. [4]米CISA「CISA Adds Two Known Exploited Vulnerabilities to Catalog（英語）」、2026年10月28日
  5. [5]SecurityWeek「China-Linked Hackers Exploit PHP2Shell to Root Firewalls（英語）」、2026年10月28日
  6. [6]NVD「CVE-2026-46300（英語）」、2026年5月23日

この記事の用語と関連する質問

関連記事

委託先にカーネルを聞く前に、外から見えているホストを一覧にしませんか

ドメインを入力してアカウントを作成すると、無料のパッシブ評価をすぐに始められます。1つの所有権確認済みドメインまで無料で、対象のサーバーには接触しません。

アカウント登録後、すぐに評価を開始できます。

ニュースレター

日本企業に関係するサイバーセキュリティニュースを、わかりやすく。週2回（月・水）お届けします。

スパムは送りません。いつでも配信停止できます。 プライバシーポリシー