攻撃者にroot権限を与える可能性があるLinuxカーネルの脆弱性が、米サイバーセキュリティ・インフラセキュリティ庁（CISA）の、現在悪用されている脆弱性カタログに追加された。
CISAは2026年10月28日、Fragnesiaとして知られるCVE-2026-46300を追加した。セキュリティー研究者によると、攻撃者はこのLinuxの権限昇格脆弱性をリモートコード実行脆弱性と組み合わせ、Palo Alto Networksのファイアウォールを侵害して内部インフラに到達した。
Palo Alto Networksは10月29日、この調査結果を裏付けた。報告された侵入では、侵害されたファイアウォール管理システム、窃取された認証情報、企業のIDサービスへのアクセス試行が確認された。
25台のサーバー侵害につながったLinuxの脆弱性
CISAの既知の悪用脆弱性リストは、対象となる連邦政府民間機関に10月31日までの対策期限を設定している。FragnesiaのCVSS 3.1スコアは7.8で、深刻度が「高」であることを示す。
2026年10月29日更新の調査で、Dream Researchは米国、日本、台湾、韓国にまたがる25台のファイアウォールおよび管理サーバーが侵害されたと報告した。そのうち3台は、米政府関連環境に属していた。
Dream Researchは、外部に公開された24台のファイアウォールと、内部管理サーバー1台がrootレベルで侵害されたと報告した。米政府関連環境では、攻撃者は永続的なトンネルも確立し、認証情報を抽出してActive Directoryのアカウントを列挙していた。
この活動は、Ciscoのファイアウォール管理システムに対する最近の攻撃と類似している。これらの攻撃では、侵害された管理インフラが内部ネットワークへのアクセスを可能にしていた。
攻撃者がroot権限を得た手口
Fragnesiaは、ソケットバッファーの結合時に共有フラグメントマーカーを保持しないLinuxカーネルの欠陥に起因する。暗号化パケットの処理中に、この欠陥によってページキャッシュに裏付けられたデータが意図せず変更され、root権限への経路が生じる可能性がある。
この脆弱性だけでリモートアクセスが可能になるわけではない。攻撃者はまず、外部に公開されたPAN-OSの管理インターフェースを通じて、PHP2Shellと総称される2つのPHPリモートコード実行脆弱性、CVE-2026-109618とCVE-2026-109619を悪用した。
その後、Fragnesiaを使ってroot権限を取得した。Dreamによると、一連の攻撃を完了すれば、15分未満で永続的なroot権限のWebシェルを確立できたという。
別のIvanti VPNへの侵入でも、リモートアクセスと権限昇格に続いて認証情報を窃取する、同様の手順が使われていた。
10月29日付の脅威ブリーフで、Palo Alto NetworksのUnit 42は攻撃者のツールを独自に検証し、Dreamの調査結果を裏付けた。
組織がリスクを軽減する方法
組織は、影響を受けるLinuxシステムにパッチを適用し、外部に公開された管理サービスを保護するとともに、侵害の可能性を調査すべきだ。優先すべき対策は以下の通り。
- セキュリティーパッチを適用する。ディストリビューション固有のカーネル修正を適用し、必要に応じて再起動する。PHP2Shellに対処するPAN-OSのリリースについては、Palo Alto Networksのアドバイザリーを確認する。
- 管理アクセスを制限する。管理インターフェースを信頼できるネットワークに限定し、機密性の高いインフラを分離する。最近のArista VeloCloud Orchestratorへの攻撃も、外部に公開された管理サービスのリスクを浮き彫りにしている。
- 必要に応じて一時的なカーネル緩和策を使用する。影響を受けたUbuntuカーネルに直ちにパッチを適用できない場合は、Canonicalのガイダンスに従って無効化し、
esp4esp6。まずIPsecの依存関係を確認し、セキュリティーアップデートをインストールしたら回避策を解除する。 - 特権アクセスを強化する。不要なローカルアカウントを削除し、最小権限を徹底するとともに、脆弱なホスト上の特権コンテナを制限する。
- 侵害の兆候を調査する。予期しないroot活動、Webシェル、永続的なトンネル、異常なActive Directoryアクセスがないかを調べる。
- インシデント対応計画をテストする。侵害された管理システムについて、封じ込め、証拠保全、認証情報のローテーション、復旧手順を検証する。
パッチの適用によって既知の脆弱性は塞げるが、攻撃者がすでにアクセスを取得していたかどうかまでは分からない。組織は、対策を完了する前に、外部に公開されたシステムに永続化の仕組みや侵害された認証情報がないかを調査すべきだ。
詳しくは、悪用されたCheck Pointの管理用ゼロデイを参照。この事例は、中央集中型セキュリティープラットフォームの脆弱性によって管理機能が露出し、パッチ適用後にも侵害調査が必要になる可能性を示している。