Aktualizované: CISA pridala Linux kernel CVE-2026-46300 do KEV a spája ho s chybami PHP
CISA eviduje CVE-2026-46300 v Linux kerneli ako aktívne zneužívanú chybu. Podľa agentúry ju možno reťaziť s dvojicou zraniteľností PHP na nasadenie webshellu a spúšťanie príkazov s oprávneniami root.
Linux kernel v KEV dopĺňa informácie o chybách PHP. CISA 28. októbra zaradila CVE-2026-46300 do katalógu Known Exploited Vulnerabilities a v zázname uviedla možné reťazenie s CVE-2026-109618 a CVE-2026-109619 v PHP. Kombinácia môže podľa CISA viesť k nasadeniu PHP webshellu a spúšťaniu príkazov s oprávneniami root.
Zaradenie do KEV znamená, že CISA eviduje aktívne zneužívanie kernelovej zraniteľnosti. Samotný záznam však nepotvrdzuje kompromitáciu konkrétneho servera ani automatickú zraniteľnosť každej distribúcie Linuxu alebo každej inštalácie PHP.
Linux kernel v KEV a reťazenie s PHP
CVE-2026-46300 sa týka Linux kernelu. Tím Linux kernelu pre CVE chybu opisuje ako stratu príznaku zdieľaného fragmentu pri koalescencii socket bufferov. Následné spracovanie ESP potom môže dešifrovať dáta priamo nad fragmentmi page cache.
Samostatne má zraniteľnosť hodnotenie CVSS 7.8. Podľa tímu Linux kernelu pre CVE ide o lokálny útok, pri ktorom sú potrebné nízke oprávnenia. CISA však uvádza scenár, v ktorom možno chybu reťaziť s PHP zraniteľnosťami na nasadenie webshellu a spúšťanie príkazov s oprávneniami root.
Verejne dostupné informácie neidentifikujú útočníka, obete, rozsah kampane ani konkrétne systémy, na ktorých bola táto presná trojica CVE zneužitá ako jeden reťazec. Nezávislé verejné technické dôkazy o konkrétnych útokoch s týmto reťazcom sú zatiaľ obmedzené.
Opravy kernelu aj PHP runtime
Tím Linux kernelu pre CVE uvádza opravy vo vetvách 5.10.257, 5.15.208, 6.1.174, 6.6.141 a 6.12.91. Číslo verzie v distribúcii pritom nemusí presne zodpovedať týmto upstream vydaniam, pretože dodávatelia môžu opravu backportovať do vlastných kernelových balíkov.
Správcovia by mali sledovať bezpečnostné advisories používanej distribúcie a overiť, či majú k dispozícii opravený balík. Po jeho nasadení treba potvrdiť aj verziu práve spusteného kernelu. Samotná inštalácia balíka bez reštartu systému spravidla nestačí.
Správcovia by mali aktualizovať aj PHP podľa bezpečnostných advisories a po aktualizácii reštartovať PHP workery alebo súvisiace služby, aby používali opravený runtime.
Kontrola verejne dostupných serverov
Prioritou sú internetovo dostupné služby, ktoré používajú PHP a zároveň môžu bežať na neopravenom kerneli. Verejne dostupné podklady však nepotvrdzujú, že sa tento presný reťazec týka každého PHP servera.
- Sledovať bezpečnostné advisories PHP a nasadiť dostupné opravy.
- Reštartovať PHP workery a súvisiace služby.
- Skontrolovať bezpečnostné oznámenia distribúcie k CVE-2026-46300 a nainštalovať opravený kernelový balík.
- Po reštarte overiť, že systém skutočne beží na opravenej verzii kernelu.
- Sledovať prípadné nové technické indikátory kompromitácie alebo informácie o útokoch.
Zdroje
- CISA Known Exploited Vulnerabilities Catalog – Potvrdzuje zaradenie CVE-2026-46300 do KEV 28. októbra 2026, evidované zneužívanie a tvrdenie CISA o reťazení s CVE-2026-109618 a CVE-2026-109619.
- Linux kernel CVE team – Opisuje technickú príčinu, lokálny vektor útoku, CVSS 7.8 a opravené stabilné verzie Linux kernelu.
- Red Hat Security Bulletins – Nezávisle eviduje CVE-2026-46300 v bezpečnostnom bulletine Red Hatu k sieťovej eskalácii oprávnení v Linux kerneli.
- Security NEXT – Koroboruje aktuálne hlásenie o zaradení chyby do KEV a CISA uvádzané prepojenie s dvojicou PHP zraniteľností.
Overené a aktualizované: 29. 10. 2026 06:22
