CISA 警告 Linux 内核漏洞 CVE-2026-46300 已被利用，修复期限为 10 月 31 日

美国网络安全和基础设施安全局（CISA）警告，攻击者正在利用 Linux 内核漏洞 CVE-2026-46300 获取受影响系统的控制权。该漏洞已于 2026 年 10 月 28 日被列入 CISA 的已知被利用漏洞目录，目录条目设定的修复期限为 10 月 31 日。

CISA 表示，攻击者可以将该内核漏洞与 CVE-2026-109618、CVE-2026-109619 串联，植入 PHP webshell 并以 root 权限执行命令。目前尚不清楚该漏洞是否已被用于勒索软件活动。

漏洞机制

根据官方 CVE 记录，该缺陷出在 Linux 内核合并套接字缓冲区中网络数据的方式上。skb_try_coalesce() 函数在转移由共享内存或页缓存支撑的分片时，可能不保留 SKBFL_SHARED_FRAG 标记。这一标记的作用是告知后续代码：相关数据在被修改前需要特殊处理。

标记一旦丢失，内核就可能错误地把共享分片当作可以直接修改的数据。在封装安全载荷（ESP）输入处理过程中，内核可能跳过本应执行的保护性复制步骤，改为就地解密，从而改动那些不应经由该路径被修改的、由页缓存支撑的数据。

已公布的 CVSS 评分为 7.8，属于高危级别。评估将其描述为需要低权限、无需用户交互的本地攻击。来源因此强调，不应把这一内核缺陷单独描述为无需认证的远程接管漏洞，CISA 的警告重点在于它与其他漏洞在更大攻击链中的配合使用。

这意味着攻击链的最终效果可能包括获得受影响系统上的最高权限。

来源同时提到，此前已有关于 Linux 内核漏洞被活跃利用的报道，另有一个 Linux 内核提权漏洞在攻击中被利用，那些案例同样伴随较短的修复期限和取证审查要求。

对受影响组织而言，当下的关注点集中在三点：利用已被确认、可能获得 root 权限、以及期限紧迫。来源认为，这使该警报更接近一次紧急安全响应，而非例行更新。

上游修复的做法是：当分页分片在套接字缓冲区之间移动时，保留共享分片标记。CVE 记录列出了多个维护分支中的已修复版本，包括 Linux 5.10.257、5.15.208、6.1.174、6.6.141、6.12.91、6.18.33 和 7.0.10。

记录同时将 Linux 7.1 列为不受影响。来源提示，管理员在选择更新时应遵循所用 Linux 发行版或产品厂商的指引，而不是仅依据上游版本号自行判断。

CISA 的条目要求采取厂商认可的缓解措施、检查互联网暴露情况，并遵守适用的补丁与取证要求。在无法获得缓解措施时，条目指示组织停止使用受影响产品。

来源指出，修补与排查是否已被入侵应当作为两项独立任务推进，不能因为完成升级就省略对失陷迹象的检查。

此次警告延续了近期围绕 Linux 内核漏洞的一系列通报。来源提到，先前被利用的内核漏洞案例同样设定了较短的修复期限并要求取证审查，反映出这类缺陷一旦进入实际攻击，处置窗口往往非常有限。

就本次事件而言，已确认的利用情况、可能的 root 权限获取以及 10 月 31 日的期限共同构成了处置压力。来源建议安全运营团队结合警报上下文快速研判，以便尽快遏制事件。