Linuxカーネルの「Fragnesia」が悪用の一覧入り。一般ユーザーがroot化、カーネル更新と再起動を

01発表されている事実

1. 5月23日
   Ubuntu

   CVE-2026-46300を公表（優先度High、CVSS 7.8）。各版の修正済みカーネルを順次公開

2. 10月28日
   CISA

   KEVに追加

Ubuntuによると、通信のデータをまとめる処理（skb_try_coalesce）で印が消え、IPsecのESPの処理が、ファイルのキャッシュ（ページキャッシュ）の上で直接復号してしまう不具合です。読み取りしかできないはずのファイルのキャッシュを書き換えられ、権限の昇格や、コンテナからの脱出につながるおそれがあります。CISAは、PHPの脆弱性（CVE-2026-109618、CVE-2026-109619、通称PHP2shell）と組み合わせると、Webシェルを仕込んでrootでコマンドを実行できると注記しています。

02自社が対象か確かめる

サーバーで uname -r を実行すると、動いているカーネルの版が分かります。それを各ディストリビューションの公表と比べます。Ubuntuの標準カーネルの修正版は次のとおりです。

• 26.04 LTS：7.0.0-22.22
• 24.04 LTS：6.8.0-124.124
• 22.04 LTS：5.15.0-181.191
• 20.04以前：影響なし

Red Hat系（RHEL、AlmaLinux、Rocky Linuxなど）は、Red Hatのセキュリティ情報と各ディストリビューションの案内を見ます。レンタルサーバーの共用プランは、カーネルの更新は事業者が行います。VPSやクラウドのサーバーは、自社で更新する必要があります。

03今すぐやること

1. カーネルを更新して再起動する。Ubuntuなら sudo apt update && sudo apt upgrade のあと sudo reboot。再起動しないと新しいカーネルは動きません。
2. すぐ更新できない場合の回避策。Ubuntuは、esp4、esp6、rxrpcの3つのモジュールを読み込ませない方法を示しています（/etc/modprobe.d/ に「install esp4 /bin/false」などを書き、モジュールを外す）。ただし、IPsecのVPN（StrongSwanなど）やAFSが使えなくなります。
3. PHPも更新する。組み合わせの攻撃を断つため、PHPを修正版にします。
4. 侵入の痕跡を調べる。CISAは調査が必要な対象に指定しています。Webの公開フォルダに見覚えのないPHPファイルがないか、知らないユーザーや自動実行の設定がないかを確かめます。

04同じことを防ぐには

サーバーのOSは、アプリと違って更新しても再起動するまで効かないことがあります。月に1回など、更新と再起動の日を決めておくと漏れが減ります。自社のサーバーに穴がないかは、図鑑の「脆弱性診断」で依頼先を比べられます。