Pada 26 Oktober kami melaporkan dua kelemahan pelaksanaan kod jauh yang kritikal dalam PHP (php2shell). Pada hari yang sama, Agensi Keselamatan Siber dan Infrastruktur Amerika Syarikat (CISA) menambah kedua-duanya, CVE-2026-109618 dan CVE-2026-109619, ke dalam katalog Kelemahan Dieksploitasi yang Diketahui (KEV) atas bukti eksploitasi aktif. Pada 28 Oktober CISA menambah kelemahan kernel Linux, CVE-2026-46300, dan entrinya menyatakan dengan jelas bahawa ia boleh dirantaikan dengan dua kelemahan PHP itu untuk menanam webshell PHP dan menjalankan arahan sebagai root. Dengan kata lain, penyerang menggunakan PHP untuk mendapat keistimewaan pelayan web dan pepijat kernel untuk naik ke root.

Pepijat Kernel: Dibaiki Sejak Mei, Tetapi Banyak Pelayan Tidak Pernah Dibut Semula

  • Ubuntu menamakan CVE-2026-46300 sebagai Fragnesia. Apabila kernel menggabungkan penimbal soket, ia boleh kehilangan penanda "serpihan dikongsi", lalu IPsec ESP (ESP-in-TCP) menyahsulit terus di atas data yang disokong oleh cache halaman. NVD memberinya skor CVSS 3.1 7.8 (serangan setempat); Ubuntu menilainya keutamaan tinggi sebagai "peningkatan keistimewaan setempat yang sangat mudah" yang juga mungkin membolehkan pelepasan daripada kontena.
  • Ia telah didedahkan sejak 23 Mei, dan kernel yang dibaiki sudah tersedia selama berbulan-bulan: kernel generik Ubuntu dibaiki mulai 5.15.0-181.191 pada 22.04, 6.8.0-124.124 pada 24.04 dan 7.0.0-22.22 pada 26.04 (kernel yang sama yang membaiki kelemahan Dirty Frag pada Mei); Debian 12 dibaiki mulai 6.1.174-1 (DSA-6306-1) dan Debian 13 mulai 6.12.90-1 (DSA-6295-1). Kernel khusus awan seperti linux-aws membawa nombor versi yang berbeza, jadi semak versi anda di halaman CVE Ubuntu.
  • Perangkapnya: kemas kini kernel hanya berkuat kuasa selepas but semula. Kemas kini keselamatan automatik yang didayakan secara lalai pada Ubuntu memasang kernel baharu dalam masa 24 jam, tetapi Ubuntu menyatakan dengan jelas bahawa but semula masih diperlukan. Pelayan yang tidak dibut semula selama berbulan-bulan berkemungkinan besar masih menjalankan kernel yang terdedah.

Apa yang Perlu Dilakukan Sekarang

  • PHP: semak php -v, kemas kini ke 8.5.12, 8.4.27, 8.3.36 atau 8.2.35 (atau pakej yang dibaiki oleh pengedaran anda), kemudian mulakan semula PHP-FPM atau Apache. Nasihat CISA ialah sesiapa yang masih menggunakan PHP 8.1 atau versi lama yang tidak disokong, atau tidak dapat mengemas kini dengan segera, patut mengeluarkan sistem itu daripada talian; WAF hanya memberi perlindungan separa.
  • Kernel: bandingkan uname -r dengan versi di atas, jalankan sudo apt update && sudo apt upgrade, kemudian sudo reboot. Jika anda benar-benar belum boleh menukar kernel, langkah sementara Ubuntu ialah menyekat modul esp4 dan esp6 (baris seperti install esp4 /bin/false dalam /etc/modprobe.d/), tetapi ini merosakkan VPN IPsec seperti strongSwan.
  • Semak sama ada anda sudah diserang: CISA menandakan kedua-dua kelemahan PHP dan kelemahan kernel itu sebagai memerlukan triaj forensik (forensic triage). Perkara yang CISA tekankan ialah proses pekerja PHP yang melancarkan shell atau memuat turun alat; sambil itu, cari fail .php yang baru ditambah dalam direktori web anda (terutamanya folder muat naik), tugas cron yang tidak dikenali dan kunci SSH yang asing.

Mengapa Kedua-duanya Mesti Dibaiki Bersama

Tampal PHP tetapi tidak kernel, dan kelemahan web seterusnya masih boleh menukar keistimewaan pelayan web menjadi root; tampal kernel tetapi tidak PHP, dan laman itu sendiri kekal terbuka luas. Hanya apabila kedua-duanya dibaiki dan pelayan dibut semula, rantaian serangan ini terputus. Jika anda mengesyaki pencerobohan, ikuti siasatan dan pengukuhan semula VPS yang diceroboh; untuk pengukuhan asas (tembok api, log masuk kunci sahaja) lihat tembok api ufw dan log masuk kunci SSH; untuk siri kelemahan kernel yang dieksploitasi pada September lihat laporan ini; dan sebelum memasang semula, pastikan sandaran anda sendiri bersih.