我們 10 月 26 日報導過 PHP 的兩個嚴重遠端程式碼執行漏洞（php2shell）。同一天，美國網路安全和基礎設施安全局（CISA）以「已有在野利用證據」為由，把這兩個漏洞 CVE-2026-109618 和 CVE-2026-109619 列入了已知被利用漏洞目錄（KEV）。10 月 28 日，CISA 又把 Linux 核心漏洞 CVE-2026-46300 加進 KEV，條目裡寫明：它可以和這兩個 PHP 漏洞串聯，植入 PHP webshell 並以 root 身份執行命令。也就是說，攻擊者先借 PHP 漏洞拿到網站程序的權限，再用核心漏洞提權到 root。
核心這一個：5 月就有修復，但很多伺服器沒重啟
- CVE-2026-46300 在 Ubuntu 那裡被稱為 Fragnesia：核心在合併 socket 緩衝區時會丟掉「共享分片」標記，導致 IPsec 的 ESP（ESP-in-TCP）在解密時直接改寫頁快取裡的資料。NVD 給的 CVSS 3.1 評分是 7.8（本機攻擊）；Ubuntu 評為高優先順序，理由是「本機提權非常容易」，還可能逃出容器。
- 這個漏洞 5 月 23 日就已公開，發行版早有修好的核心：Ubuntu 22.04 通用核心從
5.15.0-181.191、24.04 從6.8.0-124.124、26.04 從7.0.0-22.22起已修（和 5 月 Dirty Frag 漏洞是同一批核心）；Debian 12 從6.1.174-1（DSA-6306-1）、Debian 13 從6.12.90-1（DSA-6295-1）起已修。雲端服務商客製化核心（比如 linux-aws）的版本號不一樣，以 Ubuntu 的 CVE 頁面為準。 - 坑在於：核心更新裝上之後必須重啟才生效。Ubuntu 預設開啟的自動安全更新會在 24 小時內把新核心裝好，但官方說得很清楚，仍然需要重啟。幾個月沒重啟的伺服器，跑的很可能還是有漏洞的舊核心。
現在要做的事
- PHP：用
php -v看版本，升級到 8.5.12、8.4.27、8.3.36 或 8.2.35（或發行版的修正套件），然後重啟 PHP-FPM 或 Apache。CISA 的意見是：還在用 PHP 8.1 及更早的不受支援版本、或者沒法馬上升級的，先把這些系統下線，WAF 只能提供部分防護。 - 核心：
uname -r看正在執行的核心，和上面的版本比；sudo apt update && sudo apt upgrade之後執行sudo reboot。實在不能馬上換核心的，Ubuntu 給的臨時辦法是禁止載入esp4、esp6模組（在/etc/modprobe.d/裡寫install esp4 /bin/false這樣的行），但這會讓 strongSwan 之類的 IPsec VPN 用不了。 - 查有沒有已經被打進來：CISA 給這兩個 PHP 漏洞和這個核心漏洞都標了「需要取證排查」（forensic triage）。CISA 點名要盯的是 PHP worker 程序有沒有啟動 shell 或下載工具；順帶檢查網站目錄（尤其上傳目錄）裡有沒有最近新冒出來的 .php 檔案，以及有沒有陌生的排程工作和 SSH 公鑰。
為什麼要兩個一起修
只修 PHP 不修核心，下一個 Web 漏洞照樣能把網站程序的權限變成 root；只修核心不修 PHP，網站本身還是敞開的。兩邊都修完再重啟，才算把這條攻擊鏈切斷。如果懷疑已經被入侵，按VPS 被入侵後的排查與加固一步步做；基礎加固（防火牆、只用金鑰登入）見ufw 防火牆與 SSH 金鑰登入；9 月另一批被在野利用的核心漏洞見這篇報導；要重灌系統，先確認備份本身是乾淨的。