Linuxカーネル脆弱性の対応｜悪用されたFragnesia

公開日2026年10月31日
約11分で読めます

目次8

2026年10月28日、米国のCISAは、Linux（リナックス）の中心部分「カーネル」の脆弱性 CVE-2026-46300（通称 Fragnesia／フラグネシア）を「実際に悪用が確認された脆弱性」の一覧に加えました。10月に大きな話題になったPHPの脆弱性「PHP2shell」と組み合わせて、サーバーの全権限（root）を奪う攻撃に使われています。

修正版は2026年5月に出ています。言いかえると、サーバーのOSを半年近く更新していない会社が、いまねらわれています。この記事では、確かめ方と対応の手順を順番に説明します。

この記事のポイント

2026年5月中旬より前のカーネルのまま動いているLinuxサーバーは、修正版のカーネルに更新して、再起動しましょう。
この脆弱性だけでは、外から直接は入れません。ただしPHP2shellなどで一度入り込まれると、そこからサーバーのすべてを乗っ取られます。
PHPを使っている場合は、PHPの修正版への更新もあわせて行いましょう。
攻撃の跡はメモリの中にしか残らないため、あやしいときは再起動の前に調べるのが大切です。

7.8

深刻度（CVSS・高）

3日

CISAが米政府機関に求めた対応期限

25台

PHP2shellとの連鎖でrootを奪われたと報告された機器（日本を含む）

ことばの説明

Linuxカーネル＝Linuxの中心となる部分です。Webサーバーや業務システムのサーバーの多くが、Linuxの上で動いています。

root（ルート）＝サーバーの中で、何でもできる一番強い権限です。これを奪われると、データの盗み出しや書き換え、裏口の設置など、何でもされてしまいます。

脆弱性（ぜいじゃくせい）＝システムの"弱いところ"。悪い人に見つかると、そこから攻撃されるおそれがあります。

どんな脆弱性？なぜ今、問題になっているの？

Fragnesiaは、Linuxカーネルの通信を処理する部分（IPsecという暗号化通信のしくみ）の不具合です。サーバーの中でふつうの権限しか持たない利用者やプログラムが、読み取り専用のはずのファイルの中身を書きかえ、rootの権限を手に入れられるおそれがあります。

この弱いところは2026年5月に公表され、攻撃の再現方法（PoC）も同じころから公開されていました。それが10月になって改めて注目されたのは、次のような「組み合わせ」の攻撃が見つかったからです。

STEP 1PHP2shellで侵入PHPの弱いところから、ふつうの権限で入り込む

STEP 2Fragnesiaでrootにカーネルの弱いところで全権限を奪う

STEP 3裏口を設置再起動しても残る入口を作る

図1　報告された攻撃の流れ（CISA、Dream Researchの報告より）

日本の機器も被害に

セキュリティ会社のDream Researchは、PHP2shellとFragnesiaを組み合わせた攻撃で、米国・日本・台湾・韓国の機器25台がrootを奪われたと報告しています。被害が報告されたのは、インターネットに管理画面を公開していたファイアウォール製品でした。CISAも「PHP2shellと組み合わせ、root権限でWebシェル（遠隔操作の入口）を設置できる」と説明しています。

一般的なPHPのWebサーバーで同じ被害が出たという報告は、10月31日時点ではありません。ただし、仕組みのうえでは同じ組み合わせが成り立つため、油断はできません。

対象の版と、移る先

Linuxカーネルの公式の修正は、2026年5月中旬に出ています。実際には、使っているLinuxの配布元（ディストリビューション）が出す修正済みのカーネルに更新します。

Linuxの種類	修正済みのカーネル（これ以降）	公開日
Amazon Linux 2023	kernel-6.1.170-213.321.amzn2023	2026年5月15日
Amazon Linux 2	kernel-4.14.355-282.729.amzn2	2026年5月15日
Red Hat Enterprise Linux 9／AlmaLinux 9／Rocky Linux 9	kernel-5.14.0-687.10.1.el9_8	2026年5月20日〜
Red Hat Enterprise Linux 8／AlmaLinux 8／Rocky Linux 8	kernel-4.18.0-553.125.1.el8_10	2026年5月20日〜
Red Hat Enterprise Linux 10	kernel-6.12.0-211.16.1.el10_2	2026年5月20日
Ubuntu 24.04 LTS	6.8.0-124.124（AWS向けは6.8.0-1057.60）	2026年6月2日
Ubuntu 22.04 LTS	5.15.0-181.191（AWS向けは5.15.0-1109.116）	2026年6月4日
Debian 13／Debian 12	6.12.90-1／6.1.174-1	2026年5月23日／28日
Ubuntu 20.04・18.04	対象外（Ubuntu発表）	—

※Red Hat Enterprise Linux 7は、Red Hatの発表では対象外です。ただし、通常のサポートはすでに終わっていて、延長サポートを契約していなければ、ほかの弱いところは直りません。サポート期限は「古いシステムの脆弱性対策」にまとめています。

更新しただけでは直りません。再起動が必要です

新しいカーネルは、サーバーを再起動してはじめて使われます。「更新はしたけれど、何か月も再起動していない」サーバーは、古いカーネルのまま動いています。止めずに直せる「ライブパッチ」が使える場合もあります（Amazon Linux、Ubuntuなど）。

これまでの流れ

2026年5月13日
脆弱性が公表され、攻撃の再現方法（PoC）も公開
2026年5月15日〜6月上旬
Amazon Linux、Red Hat、Debian、Ubuntuなどが修正済みのカーネルを公開
2026年10月21日
PHPの脆弱性「PHP2shell」の修正版が公開
2026年10月23日
PHP2shellとFragnesiaを組み合わせた攻撃で、最初の機器がrootを奪われる（Dream Researchの報告）
2026年10月28日
CISAが「悪用が確認された脆弱性」に追加。対応期限はわずか3日（10月31日）
2026年10月29日
JPCERT/CCがPHPの注意喚起を更新し、Linuxカーネルの脆弱性との組み合わせにふれる

確かめて、対応する5ステップ

Linuxサーバーを洗い出す
Webサイト、業務システム、社内のファイルサーバーなど、Linuxで動いているサーバーをすべて書き出します。クラウド（AWSなど）のサーバーも忘れずに。
いま動いているカーネルの版を確認する
サーバーにログインして uname -r と入力すると、動いているカーネルの版が出ます。上の表の版より古ければ、更新が必要です。
PHP2shellの被害がないか先に確かめる
PHPを使っていて、10月21日の修正版にまだ更新していなかった場合は、入り込まれていないかを先に調べます。攻撃の跡はメモリの中にしか残らず、再起動すると消えてしまうからです。
カーネルとPHPを更新し、再起動する
利用の少ない時間に、OSのパッケージをまとめて更新して再起動します。PHPを使っている場合は、PHPも修正版に更新します。
更新を続ける仕組みをつくる
今回の攻撃は「半年前に出ていた修正を当てていない」サーバーがねらわれました。月に一度など、OSの更新と再起動を決まった間隔で行う計画を立てましょう。