10 月 26 日に PHP の深刻なリモートコード実行の脆弱性 2 件（php2shell）をお伝えしました。同じ日、米サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は、実際の悪用の証拠があるとして CVE-2026-109618 と CVE-2026-109619 を既知の悪用された脆弱性（KEV）カタログに追加しました。さらに 10 月 28 日には Linux カーネルの脆弱性 CVE-2026-46300 を KEV に追加し、その項目には、この 2 件の PHP 脆弱性と連鎖させて PHP の Web シェル（webshell）を仕込み、root としてコマンドを実行できると明記されています。つまり攻撃者は、PHP の脆弱性で Web サーバーの権限を得て、カーネルの脆弱性で root に昇格するということです。

カーネル側：5 月から修正済みだが、再起動していないサーバーが多い

  • CVE-2026-46300 は Ubuntu では Fragnesia と呼ばれています。カーネルがソケットバッファーを結合する際に「共有フラグメント」の印が失われ、IPsec の ESP（ESP-in-TCP）がページキャッシュ上のデータの上でそのまま復号してしまうというものです。NVD の評価は CVSS 3.1 で 7.8（ローカル攻撃）。Ubuntu は「ローカル権限昇格がきわめて容易」でコンテナからの脱出もありうるとして、優先度を高に分類しています。
  • この脆弱性は 5 月 23 日から公開されており、修正済みカーネルは何か月も前から出ています。Ubuntu の汎用カーネルは 22.04 が 5.15.0-181.191、24.04 が 6.8.0-124.124、26.04 が 7.0.0-22.22 以降で修正済み（5 月の Dirty Frag 脆弱性を修正したのと同じカーネル）、Debian 12 は 6.1.174-1（DSA-6306-1）、Debian 13 は 6.12.90-1（DSA-6295-1）以降で修正済みです。linux-aws のようなクラウド向けカーネルはバージョン番号が異なるので、Ubuntu の CVE ページで確認してください。
  • 落とし穴は、カーネルの更新は再起動しないと有効にならないことです。Ubuntu で既定で有効な自動セキュリティ更新は 24 時間以内に新しいカーネルを入れますが、Ubuntu は再起動が引き続き必要だと明言しています。何か月も再起動していないサーバーは、脆弱な古いカーネルのまま動いている可能性が高いでしょう。

今すぐやること

  • PHP：php -v でバージョンを確認し、8.5.12、8.4.27、8.3.36、8.2.35（またはディストリビューションの修正パッケージ）に更新してから、PHP-FPM か Apache を再起動します。CISA は、サポート切れの PHP 8.1 以前を使っている場合や、すぐに更新できない場合はそのシステムをオフラインにするよう求めており、WAF は部分的な防御にしかならないとしています。
  • カーネル：uname -r を上記のバージョンと比べ、sudo apt update && sudo apt upgrade のあと sudo reboot を実行します。どうしてもすぐにカーネルを替えられない場合、Ubuntu の暫定策は esp4 と esp6 モジュールの読み込みを禁止すること（/etc/modprobe.d/ に install esp4 /bin/false のような行を書く）ですが、strongSwan などの IPsec VPN が使えなくなります。
  • すでに侵入されていないかの確認：CISA は PHP の 2 件とこのカーネルの脆弱性のすべてに「フォレンジックによる調査が必要」（forensic triage）と付けています。CISA が特に挙げているのは、PHP のワーカープロセスがシェルを起動したりツールをダウンロードしたりしていないかです。あわせて、Web ディレクトリ（特にアップロード用フォルダー）に最近追加された .php ファイルがないか、見覚えのない cron ジョブや SSH 鍵がないかも確認しましょう。

両方を一緒に直す理由

PHP だけ直してカーネルを放置すれば、次の Web の脆弱性でも Web サーバーの権限が root に変わりえますし、カーネルだけ直して PHP を放置すれば、サイトそのものが開いたままです。両方を修正して再起動して初めて、この攻撃の連鎖を断ち切れます。侵入が疑われる場合は侵入された VPS の調査と再強化の手順に沿って進めてください。基本的な強化（ファイアウォール、鍵のみのログイン）はufw ファイアウォールと SSH 鍵ログインを、9 月に悪用が確認された別のカーネル脆弱性はこちらの記事を参照してください。OS を入れ直す前には、バックアップ自体が汚染されていないことを確かめましょう。