Linux 核心漏洞 Fragnesia（CVE-2026-46300）列入 CISA KEV：與 PHP2Shell 串連取得 root，企業修補與檢查指南
10 月 28 日，美國 CISA 把 Linux 核心漏洞 CVE-2026-46300（又稱 Fragnesia） 加入「已知遭利用漏洞清單」（KEV），並給聯邦機構只有 3 天的修補期限（10 月 31 日到期）。多數 KEV 漏洞的期限是 2 到 3 週，這麼短的期限並不常見。
更值得注意的是 CISA 的說明：這個漏洞可以和 PHP2Shell（CVE-2026-109618、CVE-2026-109619）串連，用來植入 PHP Web Shell 並以 root 身分執行指令。換句話說，攻擊者先從網站取得一般權限，再用 Fragnesia 拿到整台主機的最高權限。
我們在 10 月 27 日整理過 PHP2Shell 漏洞修補指南。如果你的 PHP 網站跑在 Linux 主機上，這篇是必須一起處理的下一步。
已確認的事實：CISA、Ubuntu、Red Hat 與 AWS 怎麼說
以下內容整理自 CISA KEV 資料、Ubuntu、Red Hat 與 Amazon Linux 官方安全頁面（查核日期：2026-10-29）。
漏洞是什麼
漏洞位置： Linux 核心的 XFRM ESP-in-TCP（IPsec 相關）處理流程。核心在合併網路封包緩衝區時，遺失了「共用片段」的標記，導致 ESP 解密時直接寫進由 page cache（頁面快取）支撐的資料。
影響： Red Hat 說明，低權限的本機攻擊者可以把任意內容寫進唯讀檔案的 page cache，包括重要的系統執行檔，進而取得 root 權限。磁碟上的檔案本身不會被改動，只改記憶體中的快取內容。
嚴重度： CVSS v3 7.8。Red Hat 與 Amazon Linux 列為 Important，Ubuntu 列為 High，並說明這是「容易利用的本機提權」，也可能用來逃脫容器。
背景： 這個漏洞在 2026 年 5 月公開，和同年 5 月的 Dirty Frag 漏洞屬於同一個攻擊面。各大發行版在 5 月就陸續推出修補。
這次的新進展：確認遭到利用
2026-10-28： CISA 將 CVE-2026-46300 列入 KEV，到期日 2026-10-31，並標記需要進行鑑識分流（Forensics Triage）。
CISA 的說明指出，此漏洞可與 CVE-2026-109618、CVE-2026-109619 串連，植入 PHP Web Shell 並以 root 執行指令。
是否被勒索軟體使用：CISA 標示為「未知」。
各發行版修補狀態
發行版 | 修補狀態（官方頁面） |
|---|---|
Ubuntu 24.04 LTS | linux 6.8.0-124.124；AWS 版核心 linux-aws 6.8.0-1057.60；GCP 版 linux-gcp 6.8.0-1060.63 |
Ubuntu 22.04 LTS | linux 5.15.0-181.191；linux-aws 5.15.0-1109.116；linux-gcp 5.15.0-1109.118 |
Ubuntu 26.04 LTS | linux 7.0.0-22.22 |
Ubuntu 20.04 LTS | 主要 linux 套件標示「不受影響」，HWE 核心另有修補 |
Amazon Linux 2023 | 已修補（ALAS2023-2026-1710，2026-05-15） |
Amazon Linux 2 | 已修補（ALAS2-2026-3307 及各 Kernel Extra 版本，2026-05-15） |
Red Hat Enterprise Linux | 列為 Important，修補與緩解方式見 Red Hat 安全公告 RHSB-2026-003 |
以上只列出常見版本，其他核心變體（例如 Azure、Oracle、即時核心）請以各官方頁面為準。
為什麼 5 月就修補的漏洞，現在要再關注一次？
以下為 WeWinCloud 的分析與建議，非官方說法。
很多企業在 5 月看到 Dirty Frag、Fragnesia 的消息時，評估「只是本機提權，風險不高」，就排進一般維護週期，甚至沒有處理。這次 CISA 的說明改變了這個判斷：
本機提權不再只是內部人員的問題。 只要網站有任何一個遠端漏洞（例如 PHP2Shell），攻擊者就能取得網站執行身分，接著用 Fragnesia 升到 root。兩個「各自看起來中等」的漏洞，組合起來就是整台主機失守。
雲端主機一樣受影響。 這是作業系統核心的問題，EC2、Compute Engine 或任何自行管理的 Linux 虛擬機，都需要由使用者自己更新核心。託管服務（例如容器平台）的節點映像，也要確認是否已更新。
更新套件不等於修好。 核心更新後必須重新開機（或使用即時修補）才會生效。不少主機套件早已更新，但幾個月沒有重開機，實際跑的仍是舊核心。
共用主機與容器環境風險較高。 多個網站或多個容器共用同一個核心時，任何一個被入侵，都可能擴大成整台主機的問題。
企業該優先做的 5 件事
步驟 1：先找出「對外 PHP 網站 + Linux」的主機
PHP2Shell 加 Fragnesia 是目前已確認的攻擊組合。先盤點有對外 PHP 服務的 Linux 主機，把它們排在最前面。
步驟 2：確認「正在執行的」核心版本
用 uname -r 查看實際執行中的核心版本，和上表或各發行版官方頁面比對。只看套件管理員的已安裝版本不夠，要確認是否已重新開機載入新核心。
步驟 3：安排更新與重新開機
套用發行版的核心更新並重新開機。無法立即停機的服務，可以評估發行版或第三方提供的即時修補（Livepatch），或先把流量切到已更新的備援主機，再輪流更新。
步驟 4：暫時無法更新時，評估臨時緩解
Ubuntu 官方提供的緩解方式（與 Dirty Frag 相同）是封鎖 esp4、esp6、rxrpc 三個核心模組。要注意：封鎖 ESP 模組會讓 IPsec 與 strongSwan 等 VPN 無法運作，封鎖 rxrpc 會影響 AFS。實際做法請依官方說明並先在測試環境驗證，更新核心後再移除這項設定。
步驟 5：假設已被入侵，做一次檢查
CISA 為這個漏洞標記了鑑識分流需求。曾經暴露在 PHP2Shell 風險下、或修補較晚的主機，建議檢查：網站目錄是否有不明的 PHP 檔案、是否有異常的排程與帳號、對外連線是否異常。由於 Fragnesia 改的是記憶體中的快取，重新開機雖然能清掉被竄改的快取，但不代表攻擊者沒有留下其他後門。
情境 | 優先順序 | 建議動作 |
|---|---|---|
對外 PHP 網站，核心未更新 | 最高 | 立即更新核心並重開機，同時檢查 Web Shell |
共用主機或容器節點 | 高 | 更新節點映像，輪替節點 |
內部服務，套件已更新但未重開機 | 中 | 排定重開機，確認執行中核心版本 |
使用 IPsec VPN 的主機 | 中 | 不要直接封鎖 ESP 模組，以更新核心為主 |
常見問題 FAQ
Fragnesia 可以直接從網路遠端攻擊嗎？
不能單獨遠端利用。它需要攻擊者先能在主機上執行程式。但 CISA 已指出它可以和 PHP2Shell 等遠端漏洞串連，所以對外服務的主機仍應優先處理。
我用的是雲端主機，雲端業者會自動幫我修補嗎？
自行管理的虛擬機（例如 EC2、Compute Engine）作業系統由使用者負責，核心更新與重開機需要自己安排。託管型服務則依各服務的責任分擔說明而定，建議查看節點或映像的更新狀態。
已經安裝 5 月的更新，還需要做什麼？
確認主機已重新開機、執行中的核心是修補版本。另外，如果主機在修補前曾暴露於 PHP2Shell 風險，建議做一次入侵檢查。
WAF 能擋住這個漏洞嗎？
Fragnesia 本身是本機漏洞，WAF 無法直接阻擋。但 WAF 可以在 PHP2Shell 等網站漏洞修補前提供過渡防護，降低攻擊者取得第一個立足點的機會。根本做法仍是更新 PHP 與核心。
WeWinCloud 可以怎麼協助
WeWinCloud 的資安防護服務包含 WAF 網站防火牆、EDR / MDR 端點防護、資安顧問與弱點評估；架構規劃服務也能協助設計高可用與備援架構，讓核心更新與重新開機不必中斷服務。如果你需要盤點雲端主機的修補狀態，或評估入侵檢查與長期監控方案，可以先參考資安防護服務。
想盤點 Linux 主機修補狀態、檢查是否遭植入 Web Shell，或規劃 WAF 與 MDR 防護？👉 與我們聯繫，由專人協助評估。
延伸閱讀
參考資料
留言