Linux「Fragnesia」がKEV入り：PHPとの攻撃連鎖と稼働カーネルの点検

今回の新情報は、2026年10月28日付のKEV追加です。Fragnesiaは5月から公表されているLinuxの権限昇格の問題で、10月に初めて発見された脆弱性ではありません。日本時間10月29日朝に取得したCISAの公式KEVデータで、悪用状況と対応の位置付けが変わったことを確認しました。

対象読者は、Linux上でWebサービスを運用する人、PHPの緊急更新を担当した人、コンテナのホストを管理する人です。特に、外部公開サービスの更新履歴が不明な環境は優先して調べます。この記事は公開資料に基づく防御点検の解説です。実サーバーでの攻撃再現や侵害調査を行った報告ではありません。

5月の時系列はAWSの初期告知とCVE公式レコードによります。KEVの今回取得データの更新日時は10月28日19:00:04 UTC、日本時間では29日4:00:04です。これはデータ全体の更新日時であり、個々の攻撃が起きた時刻ではありません。

KEVは、PHPの2件と連鎖させ、PHPのWebシェルを設置してroot権限でコマンドを実行できると説明しています。Webシェルはサーバーに置かれる不正な操作用プログラムです。一方、この記載だけでは被害企業、侵入件数、すべての攻撃で使われた順序は分かりません。ランサムウェア利用欄は「Unknown」であり、「利用なし」ではありません。KEV原データ

対応期限欄は10月31日、forensicTriage は Yes です。米国連邦機関向け指令の期限を、日本企業の法的な一律期限とは扱いません。日本の運用担当者にとっては、既知の悪用と調査の必要性を対応優先度へ反映する材料です。CISAの実施ガイダンス

カーネルは、アプリより強い権限でメモリや通信を管理するOSの中心部分です。この問題では、通信データの断片をまとめる際に「ほかと共有しているデータ」という印が失われ、ESPの復号処理が共有されたデータをその場で書き換え得ます。ファイル内容をメモリに保持するページキャッシュまで意図せず変更されることが問題です。Linux CNAの説明

Linux CNAの評価はCVSS v3.1で7.8（High）、ベクターは CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。Localは対象マシン側での実行を前提とする評価、PR:Lは低い権限が必要という意味です。このCVE単体を「ネットに接続するだけで外から無認証root」と読み替えてはいけません。CVE公式レコード

ただし、別の脆弱性でアプリの権限による実行を許してしまうと、その後にOSの高い権限へ進む問題が重くなります。今回のPHPとの連鎖は、Webアプリ担当と基盤担当の対応をつなぐ必要がある理由です。CVSSの数値だけで「PHPより低いから後回し」と判断せず、実悪用と自社の構成を合わせて評価します。

Ubuntuは、ローカルでの権限昇格に加え、コンテナからの脱出の可能性も説明しています。すべてのコンテナ構成で必ず脱出できるという意味ではありません。Ubuntuの影響説明 コンテナ内のPHP更新と、共有しているホストのカーネル更新は別の作業として管理します。

AWSの対象外説明はCVE-2026-46300に限ったものです。同じ継続更新の告知には、別のCopy.fail / DirtyFrag関連CVEに対する更新も載っています。「Amazon Linuxはこの1件に非該当」と「Linux関連の更新は一切不要」を混同しないでください。また、AWS上で動くUbuntuまで、この対象外判定に含まれるわけではありません。

モジュールが現在読み込まれていないという観測だけでも、対象外とは断定できません。必要時に読み込まれる構成や独自ビルドもあるためです。本稿ではモジュールを強制ロードしたり、攻撃コードで確かめたりする手順は示しません。配布元の対象判定と修正済みパッケージを確認する方針です。

出典はUbuntuのパッケージ別ステータスとDebian Security Trackerです。後続の修正済みパッケージが提供されている場合は、配布元が現在推奨する更新を選びます。表の版へダウングレードするための一覧ではありません。表にない系列や古いOSを、対象外と決めないでください。

バックポートは、従来の系列を保ちながら必要な修正を取り込むことです。そのため、上流Linuxの大きな版番号だけを比べても判定できません。また uname -r の表示は、Debianのソースパッケージ版やUbuntuの完全なパッケージ版と一致するとは限りません。稼働中のカーネルに対応するパッケージを管理台帳と配布元の情報で結び付けます。

まず、管理権限のあるLinuxホストで読み取り専用の情報を集めます。次のコマンドは診断の材料を得るためのもので、脆弱性の有無や侵害の有無を自動判定しません。コマンドをコンテナ内で実行した場合、表示されるOS情報とカーネルの管理主体が異なることがあるため、ホスト担当へ確認してください。

1. 1ホストを仮名化した台帳へ、OS・カーネル系列・稼働版・対応パッケージ版・外部公開の有無・担当者を記録する。PHP/FPMの稼働版と修正状況は別列にする。
2. 2上の表と各配布元の勧告を照合し、修正済み／要対応／未確認を分ける。インストール済みの新カーネルだけで判断せず、現在の稼働版と結び付ける。
3. 3不審な痕跡や長い未更新期間があれば、変更前の証拠保全を対応担当と調整する。更新と侵害調査を並行した作業として計画する。
4. 4保守時間、業務影響、復旧手順を決め、配布元の正規更新経路で更新する。必要な再起動やノードの入れ替えまでを作業に含める。
5. 5更新後に稼働カーネルと対応パッケージを再確認し、Web・PHP/FPM・必要なVPNなどの機能を確認する。複数台・待機系・再作成用イメージも点検する。
6. 6更新担当・確認日時・稼働版の証拠を残す。ライブパッチを利用する場合は、契約や導入済みというだけでなく、このCVEと現在のカーネルへの適用状態を提供元の手順で確認する。

Ubuntuの公式更新・再起動の説明は、カーネルパッケージを導入した後の再起動まで示しています。同記事には別のDirty Frag関連CVEも含まれるため、影響判定には本稿で示したCVE-2026-46300の専用表を使ってください。自動更新を有効にしていても、再起動前に古いカーネルが動き続けることがあります。

Ubuntuは、本件の暫定策をESP関連の緩和策へ案内しています。機能を無効化する方法にはIPsec / VPNなどへの影響があります。業務で何を使っているか確認せずに全台へ設定を配るのは避け、修正版への更新を基本にしてください。本CVEの案内

外部公開を制限したりPHPを更新したりする対応は、侵入の機会を減らします。ただし、すでに別の手段でローカル実行を許している場合や、ほかの低権限ユーザーがいる場合まで解決したことにはなりません。暫定策には担当者と期限を付け、カーネルの修正確認を残します。

KEVの調査フラグを踏まえ、未更新の公開サーバーでは、更新だけでなく侵害の痕跡を調べる計画も必要です。CISAのガイダンスは、範囲の特定、証拠の保全・収集、修正、封じ込め、分析、対応の拡大判断を整理しています。以下は日本の読者向けにまとめた運用上の点検例であり、CISAが公表した本件専用の検知指標ではありません。

1. 1Web・PHP/FPM・認証・監視の記録を、保持期間と欠損も含めて確認する。不審なファイル変更、説明できないプロセスや外向き通信、アカウント変更などを、信頼できる配備履歴と照合する。
2. 2侵害が疑われる場合は、証拠を消す初期化や不審ファイルの即時削除を先に行わず、社内の対応担当・保守窓口と、保全と隔離の順番を決める。被害拡大中なら封じ込めも急ぐ。
3. 3root権限の侵害が疑われるホストでは、ホスト自身の出力やログだけを完全には信用しない。外部に保管したログ、既知の正常な配備物、対応担当の調査を組み合わせる。
4. 4ログ不足や異常なしという単一の観測を「侵害なし」にしない。復旧、認証情報の扱い、信頼できる環境からの再構築が必要かは、調査結果と業務影響で判断する。

一般のサービス利用者がサーバーを操作する必要はありません。委託先には「PHPは更新しましたか」に加えて、「LinuxのCVE-2026-46300は対象ですか」「稼働カーネルまで確認済みですか」「過去の侵害確認はどう扱いましたか」と尋ねると、担当の境界で作業が抜けにくくなります。

LLMには、公開勧告と仮名化した構成・版の台帳を渡し、未確認の行や担当の抜けを見つけてもらいます。公開IP、ホスト名、認証情報、ログ全文、不審なファイル本体は不要です。古い一般知識で判定させず、根拠URLと確認日を付けます。

点検プロンプトと空の記録表を用意しました。PHP側の対象版・FPMの確認はPHPの重大RCE2件と追加告知、優先順位の基本は脆弱性ウォッチの導入記事も参照してください。