Lỗ hổng nhân Linux Fragnesia (CVE-2026-46300): kiểm tra và vá

Ngày đăng31/10/2026
9 phút đọc

Mục lục8

Ngày 28/10/2026, CISA (Hoa Kỳ) đưa lỗ hổng CVE-2026-46300 (tên gọi Fragnesia) trong nhân Linux (kernel) vào danh sách "đã bị khai thác trong thực tế". Lỗ hổng này đang được kết hợp với lỗ hổng PHP "PHP2shell" để chiếm toàn quyền (root) máy chủ.

Bản vá đã có từ tháng 5/2026. Nói cách khác, những máy chủ gần nửa năm không cập nhật hệ điều hành đang là mục tiêu. Bài viết này hướng dẫn cách kiểm tra và xử lý theo từng bước.

Tóm tắt nhanh

Máy chủ Linux vẫn chạy kernel cũ hơn giữa tháng 5/2026 cần cập nhật kernel đã vá và khởi động lại.
Riêng lỗ hổng này không cho phép tấn công trực tiếp từ bên ngoài. Nhưng một khi kẻ tấn công đã lọt vào qua PHP2shell hay lỗ hổng khác, họ có thể chiếm toàn bộ máy chủ.
Nếu dùng PHP, hãy cập nhật luôn PHP lên bản vá.
Dấu vết tấn công chỉ nằm trong bộ nhớ, nên nếu nghi ngờ, hãy điều tra trước khi khởi động lại.

7.8

Điểm CVSS (High)

3 ngày

Hạn xử lý CISA đặt cho cơ quan liên bang Mỹ

25 thiết bị

Bị chiếm root qua chuỗi tấn công với PHP2shell (có cả Nhật Bản)

Giải thích thuật ngữ

Nhân Linux (kernel) = phần lõi của hệ điều hành Linux. Phần lớn máy chủ web và máy chủ nghiệp vụ đều chạy trên Linux.

root = quyền cao nhất trên máy chủ, làm được mọi thứ. Mất quyền root là mất tất cả: dữ liệu có thể bị lấy, bị sửa, bị cài cửa hậu.

Lỗ hổng = điểm yếu của hệ thống mà kẻ xấu có thể lợi dụng để tấn công.

Lỗ hổng này là gì, sao giờ mới thành chuyện lớn?

Fragnesia là lỗi trong phần xử lý mạng của nhân Linux (cơ chế mã hóa IPsec). Một người dùng hoặc chương trình chỉ có quyền thường trên máy chủ có thể sửa nội dung những file lẽ ra chỉ được đọc, và từ đó giành quyền root.

Lỗ hổng được công bố vào tháng 5/2026, mã tái hiện tấn công (PoC) cũng công khai từ khi đó. Đến tháng 10 nó lại được chú ý vì người ta phát hiện chuỗi tấn công kết hợp như sau:

BƯỚC 1Lọt vào qua PHP2shellVào máy chủ với quyền thường qua lỗ hổng PHP

BƯỚC 2Lên root nhờ FragnesiaDùng lỗ hổng kernel để chiếm toàn quyền

BƯỚC 3Cài cửa hậuTạo lối vào tồn tại cả sau khi khởi động lại

Hình 1. Chuỗi tấn công được báo cáo (theo CISA và Dream Research)

Có cả thiết bị ở Nhật Bản bị tấn công

Công ty bảo mật Dream Research cho biết chuỗi tấn công PHP2shell + Fragnesia đã chiếm quyền root của 25 thiết bị tại Mỹ, Nhật Bản, Đài Loan và Hàn Quốc. Các thiết bị bị tấn công là sản phẩm tường lửa có trang quản trị mở ra Internet. CISA cũng mô tả lỗ hổng "có thể kết hợp với PHP2shell để cài webshell PHP và chạy lệnh với quyền root".

Tính đến 31/10 chưa có báo cáo về máy chủ web PHP thông thường bị tấn công theo cách này. Nhưng về mặt kỹ thuật chuỗi tấn công vẫn áp dụng được, nên không thể chủ quan.

Phiên bản đã vá

Bản sửa chính thức của nhân Linux có từ giữa tháng 5/2026. Trên thực tế, bạn cập nhật kernel đã vá do bản phân phối (distribution) Linux mình dùng phát hành.

Bản phân phối	Kernel đã vá (từ bản này trở lên)	Ngày phát hành
Amazon Linux 2023	kernel-6.1.170-213.321.amzn2023	15/5/2026
Amazon Linux 2	kernel-4.14.355-282.729.amzn2	15/5/2026
Red Hat Enterprise Linux 9 / AlmaLinux 9 / Rocky Linux 9	kernel-5.14.0-687.10.1.el9_8	từ 20/5/2026
Red Hat Enterprise Linux 8 / AlmaLinux 8 / Rocky Linux 8	kernel-4.18.0-553.125.1.el8_10	từ 20/5/2026
Red Hat Enterprise Linux 10	kernel-6.12.0-211.16.1.el10_2	20/5/2026
Ubuntu 24.04 LTS	6.8.0-124.124 (bản AWS: 6.8.0-1057.60)	2/6/2026
Ubuntu 22.04 LTS	5.15.0-181.191 (bản AWS: 5.15.0-1109.116)	4/6/2026
Debian 13 / Debian 12	6.12.90-1 / 6.1.174-1	23/5 / 28/5/2026
Ubuntu 20.04 · 18.04	Không ảnh hưởng (theo Ubuntu)	—

※ Theo Red Hat, Red Hat Enterprise Linux 7 không bị ảnh hưởng. Tuy nhiên bản này đã hết hỗ trợ thông thường; nếu không mua gói hỗ trợ mở rộng thì các lỗ hổng khác sẽ không được vá. Lịch hết hỗ trợ được tổng hợp trong bài "Bảo mật hệ thống cũ: bắt đầu từ đâu?".

Cập nhật xong vẫn chưa đủ: phải khởi động lại

Kernel mới chỉ có hiệu lực sau khi khởi động lại máy chủ. Máy chủ "đã cập nhật nhưng nhiều tháng chưa khởi động lại" vẫn đang chạy kernel cũ. Một số bản phân phối (Amazon Linux, Ubuntu…) có "livepatch" để vá mà không cần dừng máy.

Diễn biến

13/5/2026
Lỗ hổng được công bố, mã tái hiện tấn công (PoC) công khai
15/5 – đầu 6/2026
Amazon Linux, Red Hat, Debian, Ubuntu… phát hành kernel đã vá
21/10/2026
Phát hành bản vá cho lỗ hổng PHP "PHP2shell"
23/10/2026
Thiết bị đầu tiên bị chiếm root qua chuỗi PHP2shell + Fragnesia (theo Dream Research)
28/10/2026
CISA đưa vào danh sách lỗ hổng đã bị khai thác, hạn xử lý chỉ 3 ngày (31/10)
29/10/2026
JPCERT/CC cập nhật cảnh báo PHP, nhắc tới chuỗi kết hợp với lỗ hổng nhân Linux

5 bước kiểm tra và xử lý

Liệt kê các máy chủ Linux
Website, hệ thống nghiệp vụ, máy chủ file nội bộ… Đừng quên các máy chủ trên đám mây (AWS…).
Xem phiên bản kernel đang chạy
Đăng nhập máy chủ và gõ uname -r. Nếu cũ hơn phiên bản trong bảng trên thì cần cập nhật.
Kiểm tra dấu vết PHP2shell trước
Nếu bạn dùng PHP và chưa cập nhật bản vá ngày 21/10, hãy kiểm tra xem đã bị xâm nhập chưa. Dấu vết tấn công chỉ nằm trong bộ nhớ và sẽ mất khi khởi động lại.
Cập nhật kernel và PHP, rồi khởi động lại
Vào giờ ít người dùng, cập nhật toàn bộ gói hệ điều hành và khởi động lại. Nếu dùng PHP, cập nhật PHP lên bản vá.
Xây dựng quy trình cập nhật định kỳ
Lần này kẻ tấn công nhắm vào máy chủ chưa áp bản vá đã có từ nửa năm trước. Hãy lên lịch cập nhật hệ điều hành và khởi động lại định kỳ, ví dụ mỗi tháng một lần.

Chưa khởi động lại ngay được thì làm gì trước?

Red Hat hướng dẫn: với máy chủ không dùng IPsec (mã hóa), có thể chặn không cho nạp các module liên quan (esp4, esp6). Tuy nhiên VPN dùng IPsec sẽ ngừng hoạt động. Hãy trao đổi với đơn vị bảo trì trước khi đổi cấu hình.

Để nguyên hay xử lý ngay?

Nếu để nguyên

Từ một lỗ hổng nhỏ của ứng dụng web, cả máy chủ có thể bị chiếm
Có thể bị cài cửa hậu không mất khi khởi động lại
Thiệt hại có thể lan sang các máy chủ khác trong công ty

Nếu cập nhật kernel và khởi động lại

Lỡ bị lọt vào, thiệt hại vẫn được khoanh vùng
Vá luôn các lỗ hổng khác được sửa từ tháng 5 tới nay
Có thể trả lời đối tác rằng "đã xử lý xong"

Nên hỏi bên phát triển, bảo trì, nhà cung cấp máy chủ những gì?

Máy chủ của chúng tôi dùng bản Linux nào, kernel đang chạy là phiên bản nào?
Lần gần nhất cập nhật hệ điều hành và khởi động lại là khi nào?
Khi nào có thể cập nhật kernel đã vá CVE-2026-46300 (Fragnesia)?
Nếu có dùng PHP: đã cập nhật bản vá PHP2shell chưa? Đã kiểm tra dấu vết xâm nhập chưa?
Kế hoạch cập nhật hệ điều hành và khởi động lại định kỳ là bao lâu một lần?

Cách xử lý chính lỗ hổng PHP2shell được trình bày trong bài "Lỗ hổng PHP2shell (CVE-2026-109618): doanh nghiệp cần làm gì?".

Digi Dinos có thể giúp gì?

Digi Dinos là công ty phần mềm có văn phòng tại Việt Nam và Nhật Bản. Trong 8 năm, chúng tôi đã thực hiện hơn 150 dự án, với đội ngũ làm việc được bằng tiếng Nhật.

Cập nhật và rà soát máy chủ: cập nhật hệ điều hành, kernel, lên lịch khởi động lại và kiểm tra hoạt động sau cập nhật.
Tiếp nhận bảo trì hệ thống có sẵn: PHP, Java, Node.js, Python, Ruby, .NET…
Xử lý lỗ hổng mới công bố: khi có bản vá như lần này, chúng tôi đánh giá ảnh hưởng và áp dụng bản sửa.
Không có tài liệu cũng không sao: kể cả khi nhà cung cấp cũ đã không còn và không ai hiểu hệ thống, chúng tôi tự đọc mã nguồn, dựng lại tài liệu và đề xuất kế hoạch hoàn chỉnh.
Bảo hành vĩnh viễn: nếu phát hiện lỗi ở phần chúng tôi đã sửa, chúng tôi chịu trách nhiệm sửa, không giới hạn thời gian chừng nào hợp đồng bảo trì còn tiếp tục.

Chưa chắc máy chủ của bạn an toàn? Tư vấn miễn phí.

Từ kiểm tra phiên bản kernel đến lập kế hoạch cập nhật, khởi động lại. Kể cả khi không liên lạc được với bên đã dựng máy chủ.

Dịch vụ tiếp nhận hệ thống Liên hệ với chúng tôi

Câu hỏi thường gặp

Chỉ với lỗ hổng này, kẻ tấn công có vào được từ bên ngoài không?

Không. Fragnesia là lỗ hổng để nâng quyền, dành cho kẻ đã chạy được chương trình trên máy chủ. Nhưng kết hợp với lỗ hổng ứng dụng web (như PHP2shell), cả máy chủ có thể bị chiếm từ bên ngoài.

Tôi dùng shared hosting. Có cần làm gì không?

Với shared hosting, nhà cung cấp thường tự cập nhật hệ điều hành; hãy xem thông báo của họ. Nếu bạn thuê VPS hoặc máy chủ đám mây riêng, việc cập nhật là trách nhiệm của bạn (hoặc đơn vị bảo trì).

Khởi động lại có làm website, hệ thống ngừng chạy không?

Sẽ gián đoạn vài phút. Hãy làm vào giờ ít người dùng và kiểm tra website, hệ thống nghiệp vụ hoạt động đúng sau khi khởi động lại.

Chi phí khoảng bao nhiêu?

Tùy số lượng máy chủ và mức độ cũ của hệ điều hành. Chúng tôi khảo sát hiện trạng trước rồi báo giá, kèm kế hoạch tổng thể dễ hiểu.

Nguồn tham khảo