近期，Linux内核安全领域再次引发关注。研究人员披露了一个被称为“Fragnesia”的本地提权漏洞（CVE-2026-46300）。从我们的应急响应经验来看，这是一个典型的“补丁副作用”案例，即为了修复旧漏洞而引入了新的攻击面。
漏洞背景与成因分析
Fragnesia漏洞主要存在于Linux内核的xfrm-ESP模块中。值得注意的是，该漏洞与此前披露的“Dirty Frag”漏洞属于同一类缺陷。据研究人员分析，Fragnesia实际上是在修复CVE-2026-43284（Dirty Frag系列漏洞之一）的过程中“意外激活”的。
这一现象在内核开发中并不罕见，但再次提醒我们：复杂模块的补丁修复往往需要极高的代码审计覆盖率。此次漏洞由Zellic的研究团队借助AI驱动的审计工具发现，这标志着自动化审计在挖掘深层内核逻辑漏洞方面正发挥越来越重要的作用。
核心攻击链与技术手法
Fragnesia的危害在于它允许非特权本地攻击者修改内核页面缓存中的只读文件内容。通过一种确定的页面缓存损坏原语，攻击者可以篡改关键系统二进制文件（例如将/usr/bin/su替换为恶意代码）从而获取Root权限。
从安全攻防视角来看，这一漏洞的威胁主要集中在多租户环境。对于单用户工作站，其风险相对可控，但在共享Linux主机、容器集群、CI/CD流水线以及运行用户代码的云SaaS平台上，该漏洞可能导致严重的权限越权，甚至引发跨容器攻击。
这一环节是很多企业容易忽视的：许多运维团队在部署内核补丁后，往往忽略了页面缓存的清理。如果攻击者在补丁生效前已经实施了恶意篡改，仅仅修复漏洞是不够的，系统内存中留存的缓存仍可能包含被篡改后的二进制文件。
安全建议与Solar应急经验
针对Fragnesia漏洞，我们建议采取以下梯次防御策略：
首先，请密切关注各Linux发行版发布的内核补丁，并优先在测试环境验证后进行生产环境升级。
其次，对于无法立即重启升级内核的服务器，建议通过黑名单方式禁用受影响的模块（如esp4、esp6、rxrpc）。通过执行 rmmod 或在 modprobe 配置文件中将其列入黑名单，可以有效阻断此类利用路径。
最后，关键的加固步骤：在完成补丁更新或模块禁用后，务必手动触发页面缓存清理。通过执行“echo 3 > /proc/sys/vm/drop_caches”命令，强制系统从磁盘重新加载文件，以确保内存中不再残留被篡改的二进制镜像。
类似攻击近年来明显增加，攻击者正越来越多地利用内核模块间的逻辑复杂性进行绕过。如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com