Linuxカーネルの脆弱性「Fragnesia」（CVE-2026-46300、CVSS v3.1で7.8 HIGH）が、2026年10月28日にCISA（米国のサイバーセキュリティ機関）の「KEV」に追加されました。KEVは、実際に悪用された脆弱性のカタログです。このサーバーに一般ユーザーとしてログインできる人（またはそのアカウントを乗っ取った攻撃者）が、管理者（root）権限を奪える欠陥です。ディストリビューションのカーネル更新を入れて、再起動してください。
遠隔から直接攻撃される欠陥ではありません。Red Hatは、攻撃にローカルのアカウントが必要なため深刻度を「Important」（重要）としています。ただし、共用サーバー、複数人が使う踏み台、CIの実行環境、コンテナを動かすホストでは、「入り口はほかの弱点、最後にroot」という使われ方が現実的です。Ubuntuは影響として「ローカルでの権限昇格、またはコンテナからの脱出」を挙げています。さらにCISAのKEVの説明は、この欠陥を、当サイトが前に扱ったPHPの脆弱性（CVE-2026-109618・CVE-2026-109619）とつなげると、PHPのウェブシェル（遠隔操作用のプログラム）を設置してroot権限でコマンドを実行できる、と書いています。PHPを使うサーバーは、PHPとカーネルの両方を更新してください。
スコアの出どころ：7.8（CVSS v3.1、攻撃元区分はローカル、必要な権限は低、利用者の操作は不要）は、NVD・Red Hat・CVE.orgのいずれも同じ値です（NVDのAPIで確認）。10月29日時点で、v4.0の値は確認できませんでした。なお、CISAはKEVでこの欠陥を「変数の初期化漏れ」という分類名で載せていますが、Red Hatは「書き込み先を攻撃者が決められる欠陥（CWE-123）」としており、分類名は出典によって違います。
何が起きるのか（公表されている範囲）
- ▸場所：カーネルのIPsec（ESP-in-TCP）まわりの処理です。ネットワークのデータをまとめる関数 `skb_try_coalesce()` が、「このデータは他と共有している」という目印（SKBFL_SHARED_FRAG）を引き継ぎ忘れます。そのため、ESPの受信処理が共有されているメモリの上で、そのまま復号してしまうことがあります（NVD・Ubuntuの説明）
- ▸結果：一般ユーザーが、読み取り専用のファイルのメモリ上の写し（ページキャッシュ）へ任意のバイトを書き込めます。特権のあるプログラムを書き換えてrootになれる、とRed Hatは書いています
- ▸報告者の説明：発見者の投稿（oss-security、5月13日）は、競合状態に頼らずに書き込め、`/usr/bin/su` の先頭192バイトをメモリ上で書き換えて、rootのシェルを得られる例を挙げています。書き換わるのはメモリ上だけで、ディスク上のファイルは変わらないとも書かれています。（当サイトの読み取り：ファイルの改ざん検査だけでは、見つからない可能性があります）
- ▸位置づけ：Red Hatのバグ管理ページは、2026年に問題になった「Dirty Frag」の仲間（変種）と説明しています。ただし別の欠陥で、別のCVE番号が振られています
- ▸攻撃コード：発見者は検証用コード（PoC）を公開しています（oss-securityの投稿）。CISAは、攻撃の件数・時期・攻撃者を書いていません。ただしKEVの説明は、この欠陥をPHPの2件（CVE-2026-109618・CVE-2026-109619）とつなげて、PHPのウェブシェルを設置し、rootでコマンドを実行する使い方ができると書いています（実際の攻撃がこの連鎖を使ったとまでは書いていません）。ランサムウェアでの使用も、KEVでは「不明」です
影響を受けるカーネルと修正版
自分のカーネルが対象かは、まず `uname -r` で版を確認し、お使いのディストリビューションのアドバイザリで見るのが確実です。多くのディストリビューションは、版番号を変えずに修正を取り込む（バックポート）ため、番号だけでは判断できないことがあります。参考として、公開されている範囲を並べます。
- ▸カーネル本家：Linux CNA（CVE.orgの記録）では、3.9以降が対象で、5.10.257、5.15.208、6.1.174、6.6.141、6.12.91、6.18.33、7.0.10以降で修正済みです（7.1は対象外）。NVDの対象範囲は5.10系を「5.10.257まで」としており、5.10.257の扱いが2つの記録で食い違っています。この系統を使う場合は、ディストリビューションのアドバイザリで確認してください（Debianは、Bullseyeの5.10.257-1を修正版としています）。修正のコミットは `f84eca58…`（本流）です
- ▸Ubuntu：26.04 LTSは7.0.0-22.22、25.10は6.17.0-35.35、24.04 LTSは6.8.0-124.124、22.04 LTSは5.15.0-181.191で修正。20.04は、標準の `linux` パッケージは対象外ですが、HWEカーネル（`linux-hwe-5.15`）は影響を受け、5.15.0-181.191~20.04.1で修正されています（Ubuntu Proでの提供）と書かれています（Ubuntuのページ）
- ▸Red Hat：RHEL 8・9・10と、そのカーネルを使うRHEL CoreOS、OpenShift、OpenStack、Virtualizationが対象で、修正版は公開済みです（Red Hatの告知）
- ▸Debian：公式の追跡ページで、リリースごとの状況を確認できます（下の根拠ページ）。ここでは版番号を書き写しません
今日やること
- ✓★カーネルを確認して更新する。`uname -r` で今の版を見て、`apt` や `dnf` などでカーネルの更新を入れます。カーネルは再起動して初めて入れ替わります（当サイトの補足。ライブパッチを使っているなら、提供元の案内に従う）
- ✓更新後に `uname -r` をもう一度見る。更新を入れただけで再起動していないと、古いカーネルのままです
- ✓VPSやクラウドの場合は、提供元のカーネル（イメージ）の更新状況も確認する。自分で更新できない種類のサービスは、事業者の対応を待ちます
- ✓共用環境では、ほかの利用者のアカウントを棚卸しする。使っていないアカウント、使い回しのパスワード、公開鍵の削除し忘れは、この種の欠陥の「入り口」になります（当サイトの補足）
- ✓CISAは、KEVの対象について「フォレンジック（痕跡調査）の初期確認」を求めています（米国の連邦機関向けの要件で、日本の事業者に義務はありません）。公開サーバーで不審なログインやrootの利用がなかったか、更新前の期間も見直すのが安全です
今すぐ更新できないとき（公式の緩和策と副作用）
Red Hatは、CVE-2026-46300のページから、告知「RHSB-2026-003」の緩和手順を案内しています。発見者の投稿も、緩和策は「Dirty Fragと同じ」と書いています。次の2つがそれで、どちらも副作用があります。更新が終わったら元に戻してください。
- ▸方法1：IPsecのモジュールを止める。IPsecを使っていないかを `lsmod | grep -E 'esp4|esp6'` で確認し、使っていなければ、`esp4` と `esp6` を読み込めないようにして外します（Red Hatは `/etc/modprobe.d/dirtyfrag.conf` に `install esp4 /bin/false` と `install esp6 /bin/false` を書く方法を載せています）。副作用：IPsecが使えなくなります。戻すときは、そのファイルを削除します
- ▸方法2：一般ユーザーの「ユーザー名前空間」を止める。IPsecを使い続けたい場合の方法で、Red Hatは `user.max_user_namespaces=0` を設定する手順を載せています。副作用：rootless（root権限なし）のコンテナ、サンドボックス化されたブラウザ、Flatpakに影響することがあります
- ▸どちらも更新の代わりにはなりません。Red Hatも、ローカルで入られる経路はほかにもあるため、SELinuxの有効化、アプリをroot以外で動かす、といった対策を併せて行うよう書いています
コマンドを実行するときは、必ず上の公式の告知で全文を確認してください。設定ファイルの書き方を間違えると、必要な機能まで止めてしまいます。
確認できなかったこと
- ▸実際の攻撃の件数・時期・攻撃者。CISAは、誰が・何件・いつ使ったかを書いていません。KEVの説明にあるPHPとの連鎖が実際の攻撃で使われたかも、書かれていません。この記事は、日本国内の被害の有無を示せません
- ▸NVDの版ごとのスコアの追加。10月29日時点で、v3.1の7.8のみを確認しました
- ▸ディストリビューションごとの最新の修正版。上に挙げたのはUbuntuと本家のカーネルです。ほかは、各社のアドバイザリを確認してください
共有するならこの3行
- ▸Linuxカーネルの脆弱性「Fragnesia」（CVE-2026-46300、CVSS v3.1 7.8）が、10月28日にCISAの「悪用確認」カタログ（KEV）に追加された。一般ユーザーから管理者（root）権限を奪える
- ▸★ディストリビューションのカーネル更新を入れて、再起動する。`uname -r` で更新後の版を確認する。更新できないときは、Red Hatの告知（RHSB-2026-003）の緩和策を、副作用を読んでから使う
- ▸共用サーバーやコンテナのホストは特に優先。使っていないアカウントも洗い出す