# CVE-2026-46300 Fragnesia ใน Linux เข้า KEV: Dream พบใช้คู่ PHP2Shell ได้ root 25 เครื่อง

> CVE-2026-46300 หรือ Fragnesia ช่องโหว่ Linux kernel เข้า KEV 28 ต.ค. 2026 กำหนดแก้ 31 ต.ค. Dream พบคนร้ายใช้คู่ PHP2Shell จนได้ root บนอุปกรณ์ PAN-OS 25 เครื่อง

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-10-30T10:10:00.000Z · อัปเดต: 2026-10-30T10:10:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/linux-kernel-fragnesia-cve-2026-46300-php2shell/

## สรุปประเด็นสำคัญ

- CISA เพิ่ม **CVE-2026-46300** (Fragnesia) เข้าแคตตาล็อก KEV เมื่อ **28 ตุลาคม 2026** ให้หน่วยงานรัฐบาลกลางสหรัฐฯ แก้ภายใน **31 ตุลาคม 2026** และต้องตรวจร่องรอยการเจาะตาม BOD 26-04 ด้วย
- ช่องโหว่มีคะแนน **CVSS v3.1 7.8** ผู้โจมตีต้องอยู่ในเครื่องก่อน เปิดเผยตั้งแต่ **13 พฤษภาคม 2026** และแก้แล้วในเคอร์เนล 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33, 7.0.10 และ 7.1
- Dream รายงานว่าคนร้ายใช้ PHP2Shell คู่ Fragnesia ได้ root บนอุปกรณ์ PAN-OS **25 เครื่อง** ใน **4 ประเทศ** โดย **3 เครื่อง**อยู่ในระบบที่เชื่อมโยงกับรัฐบาลสหรัฐฯ และ Unit 42 ตรวจเครื่องมือแล้วยืนยันผล
- วิธีแก้คือติดตั้งเคอร์เนลรุ่นแก้แล้วรีบูต เช่น Ubuntu 24.04 ใช้ 6.8.0-124.124 และ RHEL 9.8 ใช้ 5.14.0-687.10.1.el9_8 ส่วนการปิดโมดูล esp4/esp6 เป็นทางเลือกชั่วคราวที่ทำให้ IPsec ใช้งานไม่ได้

CISA เพิ่ม CVE-2026-46300 หรือช่องโหว่ Fragnesia ใน Linux kernel เข้าแคตตาล็อก KEV เมื่อ 28 ตุลาคม 2026 ให้หน่วยงานรัฐบาลกลางสหรัฐฯ แก้ภายใน 31 ตุลาคม และระบุว่าต่อกับ PHP2Shell เพื่อฝัง webshell และรันคำสั่งด้วยสิทธิ์ root ได้ Dream Research รายงานว่าคนร้ายใช้ทั้งคู่ได้ root บนอุปกรณ์ PAN-OS 25 เครื่อง รวมระบบที่เชื่อมโยงกับรัฐบาลสหรัฐฯ ซึ่งรายงานไม่เปิดชื่อและเจ้าตัวยังไม่ได้ยืนยัน

CVE-2026-46300 ไม่ใช่ช่องโหว่ใหม่ เพราะเปิดเผยตั้งแต่ 13 พฤษภาคม 2026 และมีเคอร์เนลรุ่นแก้แล้ว สิ่งที่เปลี่ยนคือ CISA จัดให้อยู่ในรายการที่มีหลักฐานการโจมตีจริง และ Unit 42 ของ Palo Alto Networks ตรวจเครื่องมือของคนร้ายแล้วยืนยันผลตามรายงานของ Dream ติดตามที่มาของ PHP2Shell ได้ใน[ข่าวการโจมตีจริงก่อนวันเปิดเผย](/security/php2shell-exploited-before-disclosure-amazon-madpot/)

## CVE-2026-46300 คืออะไร

CVE-2026-46300 เป็นช่องโหว่ยกระดับสิทธิ์ภายในเครื่อง (local privilege escalation) ในโค้ดเครือข่ายของเคอร์เนล [บันทึก CVE](https://www.cve.org/CVERecord?id=CVE-2026-46300) อธิบายว่าฟังก์ชัน `skb_try_coalesce()` ทำเครื่องหมาย shared-frag หายระหว่างย้ายข้อมูลใน socket buffer ส่วนประมวลผล ESP ของ IPsec จึงอาจถอดรหัสทับข้อมูลใน page cache ส่วน [Red Hat](https://access.redhat.com/security/cve/CVE-2026-46300) สรุปผลว่าผู้ใช้สิทธิ์ต่ำเขียนข้อมูลลง page cache ของไฟล์อ่านอย่างเดียวได้ รวมถึงไฟล์ระบบ และอาจแก้โปรแกรมที่มีสิทธิ์สูงจนได้ root

- **คะแนน:** CVSS v3.1 **7.8** (High) เวกเตอร์ `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H` ตรงกันทั้ง NVD และผู้ออก CVE ฝั่ง Linux ส่วน Red Hat จัดระดับ Important ไม่ใช่ Critical เพราะต้องเข้าถึงเครื่องก่อน
- **ผู้พบ:** [ประกาศใน oss-security](https://www.openwall.com/lists/oss-security/2026/05/13/5) วันที่ 13 พฤษภาคม ให้เครดิต William Bowling กับทีม V12 และ Red Hat จัดว่าเป็นสายพันธุ์ของช่องโหว่ Dirty Frag
- **โค้ดสาธิต:** Debian Security Tracker และ oss-security บันทึกว่ามีโค้ดสาธิตเผยแพร่แล้ว
- **Container:** บล็อกของ Ubuntu ระบุว่าในระบบที่รันงานของบุคคลที่สาม ช่องโหว่อาจช่วยหนีออกจาก container ได้ แต่ยังไม่มีโค้ดสาธิตสำหรับกรณีนั้น
- **Ransomware:** KEV ระบุสถานะการใช้ในแคมเปญแรนซัมแวร์ว่า Unknown

![รายการ CVE-2026-46300 ในแคตตาล็อก KEV ของ CISA วันที่เพิ่ม 28 ตุลาคม 2026 กำหนดแก้ 31 ตุลาคม 2026 และต้องตรวจร่องรอยการเจาะตาม BOD 26-04](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/linux-kernel-fragnesia-cve-2026-46300-php2shell/cisa-kev-cve-2026-46300-fragnesia.webp?v=869b71a6) _(ภาพ: CISA (ภาพหน้าจอ))_

## PHP2Shell คู่ CVE-2026-46300 ถูกใช้ยึดอุปกรณ์ PAN-OS อย่างไร

[รายงานของ Dream](https://dreamgroup.com/blog/chained-php2shell-exploit-roots-25-servers) เผยแพร่ 26 ตุลาคม 2026 และปรับปรุง 29 ตุลาคม ระบุว่าพบหลักฐานของปฏิบัติการนี้เมื่อ 25 ตุลาคม คนร้ายสร้าง exploit ของ PHP2Shell ขึ้นเองเพื่อโจมตีหน้าเว็บจัดการของ PAN-OS ขั้นแรกได้เพียงสิทธิ์ผู้ใช้ `nobody` ซึ่ง SELinux จำกัดไม่ให้แก้ไฟล์ระบบ CVE-2026-46300 จึงเป็นขั้นที่สองที่พาไปถึง root ทั้งหมดจบใน HTTP request เดียวโดยไม่ต้องใช้รหัสผ่าน

ตัวเลขจากรายงานแสดงการคัดเป้าหมายเป็นขั้น ๆ

- **ราว 19,000 เครื่อง:** ไฟร์วอลล์ PAN-OS ทั่วโลกที่เปิดหน้าจัดการสู่อินเทอร์เน็ต ค้นพบผ่าน FOFA
- **ราว 5,000 เครื่อง:** ตอบกลับพร้อมข้อมูลรุ่น
- **240 เครื่อง:** เหลือเฉพาะสหรัฐฯ ญี่ปุ่น ไต้หวัน และเกาหลีใต้ ในสาย 12.1 และ 12.2
- **24 เครื่อง:** ได้ root จากการโจมตีอัตโนมัติ โดย 22 เครื่องถูกฝัง webshell ทิ้งไว้โดยยังไม่ทำอะไรต่อ
- **เครื่องที่ 25:** เซิร์ฟเวอร์จัดการไฟร์วอลล์ภายในขององค์กรที่เชื่อมโยงกับรัฐบาลสหรัฐฯ ถูกเจาะผ่าน tunnel เมื่อ 24 ตุลาคม เวลา 11:35 UTC

![กราฟการคัดเป้าหมายในรายงานของ Dream จากราว 19,000 เครื่องเหลือ 240 เครื่อง และได้ root 24 เครื่อง](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/linux-kernel-fragnesia-cve-2026-46300-php2shell/fragnesia-target-funnel-counts.webp?v=e6e349cd) _(ภาพ: THAI DATA (ข้อมูล: Dream Research))_

ในองค์กรนั้น Dream ยืนยันจากหลักฐานว่าคนร้ายได้ข้อมูลรับรองของบัญชีบริการ LDAP รายชื่อผู้ใช้และกลุ่มใน Active Directory และกุญแจส่วนตัวบนไฟร์วอลล์ แต่บอกไม่ได้ว่าการเดารหัสผ่าน การสร้างบัญชีลับ และการดึงกุญแจ SAML สำเร็จหรือไม่

## Unit 42 ยืนยันการโจมตี แต่ยังไม่มีชื่อกลุ่มผู้อยู่เบื้องหลัง

[Unit 42](https://unit42.paloaltonetworks.com/cve-2026-109618-cve-2026-109619/) ระบุในประกาศที่ปรับปรุงเมื่อ 29 ตุลาคมว่าตรวจเครื่องมือของผู้โจมตีรายนี้ด้วยตนเองและยืนยันผลตามรายงาน พร้อมบอกว่าลูกค้าที่ติดตั้งแพตช์แล้วไม่ได้รับผลกระทบ เพราะแพตช์ตัดห่วงโซ่การโจมตีที่พบ

ด้านตัวผู้โจมตี Dream เขียนว่า "We do not attribute this activity to a named threat actor" คือไม่ชี้ชื่อกลุ่มใด แต่ระบุว่า Unit 42 ติดตามกิจกรรมนี้ในชื่อ CL-UNK-1280 และโยงกับผู้โจมตีที่ใช้ภาษาจีนในเขตเวลา UTC+8 Dream เองเห็นว่าหลายสัญญาณชี้ไปทางปฏิบัติการที่เกี่ยวโยงกับจีน เช่น การเลือกเป้าหมายและเครื่องมือที่ใช้ อย่างไรก็ดี ชื่อ CL-UNK-1280 ปรากฏในรายงานของ Dream แต่ไม่อยู่ในประกาศของ Unit 42 ที่เราเปิดอ่าน

## รุ่นเคอร์เนลและ Ubuntu ที่แก้ CVE-2026-46300 แล้ว

[บันทึก CVE](https://www.cve.org/CVERecord?id=CVE-2026-46300) ระบุว่าโค้ดที่มีปัญหาอยู่ตั้งแต่เคอร์เนล 3.9 และแก้แล้วในรุ่น 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33, 7.0.10 และ 7.1 แต่องค์กรส่วนใหญ่ควรดูเลขรุ่นของผู้จำหน่ายดิสโทรมากกว่า ตารางนี้คัดจาก[บล็อกของ Ubuntu](https://ubuntu.com/blog/fragnesia-linux-vulnerability-fixes-available)

| Ubuntu | เคอร์เนลที่แก้ CVE-2026-46300 แล้ว |
| --- | --- |
| 26.04 LTS | `7.0.0-22.22` |
| 25.10 | `6.17.0-35.35` |
| 24.04 LTS | `6.8.0-124.124` และ HWE `6.17.0-35.35~24.04.1` |
| 22.04 LTS | `5.15.0-181.191` และ HWE `6.8.0-124.124~22.04.1` |
| 20.04 LTS | เฉพาะเคอร์เนล 5.15: `5.15.0-181.191~20.04.1` (เคอร์เนล 5.4 ไม่โดน) |
| 14.04, 16.04, 18.04 | ไม่ได้รับผลกระทบ |

เคอร์เนลสำหรับคลาวด์ของ Ubuntu เช่น linux-aws, linux-azure, linux-gcp และ linux-oracle มีเลขรุ่นแยกต่างหาก ดูได้ที่[หน้า CVE ของ Ubuntu](https://ubuntu.com/security/CVE-2026-46300)

![ตารางรุ่น Ubuntu ที่แก้ CVE-2026-46300 แล้วในบล็อกของ Ubuntu ตั้งแต่ 14.04 ถึง 26.04 LTS](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/linux-kernel-fragnesia-cve-2026-46300-php2shell/ubuntu-fragnesia-fixed-kernels-table.webp?v=9e4ead13) _(ภาพ: Ubuntu (ภาพหน้าจอ))_

## รุ่น Debian และ RHEL ที่แก้ CVE-2026-46300 แล้ว

ตารางนี้คัดจาก [Debian Security Tracker](https://security-tracker.debian.org/tracker/CVE-2026-46300) และ[ข้อมูล VEX ของ Red Hat](https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-46300.json)

| ระบบ | รุ่น | เคอร์เนลที่แก้แล้ว | ประกาศ |
| --- | --- | --- | --- |
| Debian | trixie | `6.12.90-1` | DSA-6295-1 |
| Debian | bookworm | `6.1.174-1` | DSA-6306-1 |
| Debian | bullseye | `5.10.257-1` และ linux-6.1 `6.1.174-1~deb11u1` | DLA-4606-1, DLA-4607-1 |
| RHEL | 10.2 | `6.12.0-211.16.1.el10_2` | RHSA-2026:19569 |
| RHEL | 9.8 | `5.14.0-687.10.1.el9_8` | RHSA-2026:19568 |
| RHEL | 8.10 | `4.18.0-553.125.1.el8_10` | RHSA-2026:19666 |

RHEL สายอื่นและผลิตภัณฑ์ที่ใช้เคอร์เนลเดียวกันอย่าง OpenShift ดูจาก[ประกาศ RHSB-2026-003](https://access.redhat.com/security/vulnerabilities/RHSB-2026-003)

![หน้า CVE-2026-46300 ใน Debian Security Tracker แสดงรุ่นที่แก้แล้วของ bullseye, bookworm และ trixie พร้อมเลขประกาศ DSA และ DLA](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/linux-kernel-fragnesia-cve-2026-46300-php2shell/debian-tracker-cve-2026-46300.webp?v=1d01f622) _(ภาพ: Debian Security Tracker (ภาพหน้าจอ))_

## ทำไมเรื่องนี้สำคัญ

ช่องโหว่แบบ local มักถูกจัดลำดับแพตช์ไว้รองลงมา เพราะผู้โจมตีต้องเข้าเครื่องให้ได้ก่อน กรณี CVE-2026-46300 แสดงว่าเมื่อมีช่องโหว่ฝั่งเว็บอย่าง PHP2Shell เป็นประตูเข้า ข้อจำกัดนั้นแทบไม่เหลือ และชั้นป้องกันอย่าง SELinux ที่กันผู้ใช้สิทธิ์ต่ำไว้ก็ไม่ใช่ด่านสุดท้าย

กำหนดแก้ 3 วันมาจาก [BOD 26-04](https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk) ซึ่ง CISA ออกเมื่อ 10 มิถุนายน 2026 แทน BOD 22-01 รายการนี้ยังถูกติดธงว่าต้องตรวจร่องรอยการเจาะ (forensic triage) จึงไม่ได้จบแค่การแพตช์ คำสั่งนี้บังคับเฉพาะหน่วยงานพลเรือนของรัฐบาลกลางสหรัฐฯ แต่ CISA สนับสนุนให้ทุกองค์กรจัดลำดับแก้รายการใน KEV ตามความเสี่ยง

## สิ่งที่องค์กรไทยควรทำกับ CVE-2026-46300

รายงานของ Dream ระบุเป้าหมาย 4 ประเทศและไม่ได้เอ่ยถึงไทย แต่ช่องทางเดียวกันใช้ได้กับเครื่องที่ยังไม่แก้ทั้ง PHP และเคอร์เนล จึงควรทำดังนี้

- **เทียบเคอร์เนลด้วย `uname -r` กับตารางด้านบน** ติดตั้งรุ่นแก้แล้วรีบูต Ubuntu ย้ำว่าแม้เปิด unattended-upgrades ก็ยังต้องรีบูตเอง เริ่มจากเครื่องที่รันเว็บ PHP และเครื่องที่รันงานของหลายผู้ใช้
- **แก้ทั้งสองจุดพร้อมกัน** อัปเดต PHP ตาม[คู่มือแพตช์ PHP2Shell](/security/php2shell-patch-guide-check-php-version/) เพราะการแก้เพียงจุดเดียวยังเหลืออีกด้านให้ผู้โจมตีใช้ต่อ
- **ผู้ใช้ PAN-OS ปิดหน้าจัดการจากอินเทอร์เน็ตทันที** จำกัดให้เข้าได้เฉพาะ IP ภายในที่เชื่อถือ และอัปเดตตาม[ประกาศของ Palo Alto Networks](https://security.paloaltonetworks.com/CVE-2026-109618) เช่น สาย 12.2 ใช้ 12.2.4-h1 ขึ้นไป ดูสถานะอุปกรณ์อื่นใน[สรุป PHP2Shell ในอุปกรณ์](/security/php2shell-appliances-vendor-advisories/)
- **อย่าสรุปว่าปลอดภัยจากการแพตช์อย่างเดียว** ถ้าเคยเปิดหน้าจัดการสู่อินเทอร์เน็ต ให้ตรวจหา webshell, บริการหรือสคริปต์ตอนบูตที่ไม่รู้จัก และ tunnel ขาออก แล้วเปลี่ยนรหัสบัญชี LDAP กุญแจ และใบรับรองบนอุปกรณ์ เพราะ Dream พบว่าข้อมูลเหล่านี้ถูกนำออกไป
- **ถ้ายังรีบูตไม่ได้ ใช้มาตรการชั่วคราว** Ubuntu และ Red Hat แนะนำให้บล็อกโมดูล `esp4` และ `esp6` ซึ่งทำให้ IPsec ใช้งานไม่ได้ ส่วน Red Hat มีทางเลือกตั้ง `user.max_user_namespaces=0` ที่อาจกระทบ rootless container

ติดตามข่าวช่องโหว่และแนวทางป้องกันอื่น ๆ ได้ที่[หมวด Security](/security/)

## คำถามที่พบบ่อย

### CVE-2026-46300 คืออะไร?

CVE-2026-46300 หรือ Fragnesia คือช่องโหว่ยกระดับสิทธิ์ภายในเครื่องของ Linux kernel ในโค้ด ESP ที่ใช้กับ IPsec Red Hat ระบุว่าผู้ใช้สิทธิ์ต่ำเขียนข้อมูลลง page cache ของไฟล์อ่านอย่างเดียวและอาจได้สิทธิ์ root มีคะแนน CVSS v3.1 7.8 และเปิดเผยเมื่อ 13 พฤษภาคม 2026

### CVE-2026-46300 อันตรายแค่ไหนทั้งที่ต้องอยู่ในเครื่องก่อน?

ตัว CVE-2026-46300 ต้องมีสิทธิ์ในเครื่องก่อน แต่ CISA ระบุว่าต่อกับ PHP2Shell เพื่อฝัง webshell และรันคำสั่งด้วยสิทธิ์ root ได้ Dream รายงานว่าคนร้ายใช้ทั้งคู่กับอุปกรณ์ PAN-OS โดยไม่ต้องใช้รหัสผ่าน ผู้บุกรุกที่เข้ามาทางเว็บด้วยสิทธิ์ต่ำจึงยึดเครื่องได้ทั้งเครื่อง

### ต้องอัปเดต Linux รุ่นใดเพื่อแก้ CVE-2026-46300?

ขึ้นกับระบบที่ใช้ เช่น Ubuntu 26.04 ใช้ 7.0.0-22.22, Ubuntu 24.04 ใช้ 6.8.0-124.124, Debian trixie ใช้ 6.12.90-1, Debian bookworm ใช้ 6.1.174-1, RHEL 9.8 ใช้ 5.14.0-687.10.1.el9_8 และ RHEL 8.10 ใช้ 4.18.0-553.125.1.el8_10 ทุกระบบต้องรีบูตหลังติดตั้ง

### ถ้ายังอัปเดตเคอร์เนลเพื่อแก้ CVE-2026-46300 ไม่ได้ ต้องทำอย่างไร?

ระหว่างรอแก้ CVE-2026-46300 Ubuntu และ Red Hat แนะนำให้บล็อกโมดูล esp4 และ esp6 เป็นการชั่วคราว ซึ่งทำให้ IPsec และ VPN ที่พึ่ง IPsec ใช้งานไม่ได้ Red Hat ยังมีทางเลือกตั้ง user.max_user_namespaces=0 ที่คง IPsec ไว้ แต่อาจกระทบ rootless container, เบราว์เซอร์แบบ sandbox และ Flatpak


## แหล่งอ้างอิง

- [CISA Adds Two Known Exploited Vulnerabilities to Catalog](https://www.cisa.gov/news-events/alerts/2026/10/28/cisa-adds-two-known-exploited-vulnerabilities-catalog) — CISA
- [Chained PHP2Shell Exploit Roots 25 Servers, Including US Government Servers](https://dreamgroup.com/blog/chained-php2shell-exploit-roots-25-servers) — Dream Research
- [Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 (Updated October 29)](https://unit42.paloaltonetworks.com/cve-2026-109618-cve-2026-109619/) — Palo Alto Networks Unit 42
- [Fragnesia Linux kernel local privilege escalation vulnerability mitigations](https://ubuntu.com/blog/fragnesia-linux-vulnerability-fixes-available) — Ubuntu
- [RHSB-2026-003: "Dirty Frag" Linux kernel networking privilege escalation](https://access.redhat.com/security/vulnerabilities/RHSB-2026-003) — Red Hat
- [CVE-2026-46300](https://security-tracker.debian.org/tracker/CVE-2026-46300) — Debian Security Tracker