CVE-2026-46300 a été publiée par NVD le 23 mai 2026. Elle est entrée au catalogue CISA KEV le 28 octobre, cinq mois plus tard, avec une échéance au 31 octobre : trois jours.
Seule, c'est une faille locale du noyau Linux, notée 7.8. Ce qui la rend urgente, c'est la phrase de la fiche KEV : elle peut être enchaînée avec CVE-2026-109618 et CVE-2026-109619, les deux failles PHP2Shell publiées le 21 octobre, pour déposer des webshells PHP et exécuter des commandes en root.
Autrement dit : PHP2Shell donne l'exécution de code sur le serveur web, CVE-2026-46300 donne root.
La vulnérabilité
| Champ | Valeur |
|---|---|
| CVE | CVE-2026-46300 |
| CVSS 3.1 (NVD) | 7.8 (HIGH) — AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Type | Écriture hors limites (CWE-787), variable non initialisée (CWE-456), condition write-what-where (CWE-123) |
| Sous-système | Réseau : skbuff (coalescence TCP) et réception ESP (IPsec) |
| Statut NVD | Undergoing Analysis |
| Publication NVD | 2026-05-23 |
| Ajout CISA KEV | 2026-10-28 |
| Échéance CISA | 2026-10-31 |
Deux autres sources publient le même score et le même vecteur que NVD.
Description NVD (extrait) :
skb_try_coalesce() can attach paged frags from @from to @to. If @from has SKBFL_SHARED_FRAG set, the resulting @to skb can contain the same externally-owned or page-cache-backed frags, but the shared-frag marker is currently lost.
Le mécanisme
Le noyau représente un paquet réseau par une structure sk_buff. Ses données peuvent pointer vers des pages qui ne lui appartiennent pas, par exemple des pages du page cache, la copie en mémoire des fichiers du disque. Un marqueur, SKBFL_SHARED_FRAG, signale ces pages partagées : on n'a pas le droit d'écrire dedans.
- À la réception TCP,
skb_try_coalesce()fusionne des paquets et transfère ces pages partagées sans recopier le marqueur. - Le traitement ESP (déchiffrement IPsec) vérifie ce marqueur pour décider s'il peut déchiffrer sur place.
- Marqueur perdu : ESP déchiffre directement par-dessus des pages du page cache.
La fiche KEV résume la conséquence : une modification non prévue de données adossées au page cache. Modifier le page cache d'un fichier qu'on peut seulement lire, c'est potentiellement modifier ce que le système exécute ou lit comme configuration. C'est notre lecture, pas une précision de NVD, mais elle colle avec le scénario décrit par la CISA : un utilisateur local à faibles privilèges, typiquement le compte du serveur web, obtient les droits root.
Pourquoi AV:L ne rassure pas
Une faille locale suppose que l'attaquant a déjà un pied sur la machine. Sur un serveur web PHP non corrigé, PHP2Shell fournit exactement ce pied. Les deux maillons réunis donnent une chaîne distante, jusqu'à root, et la CISA indique qu'elle est exploitée.
Versions affectées
| Branche | Versions affectées (NVD) | Première version hors plage |
|---|---|---|
| 3.9 → 5.10 | de 3.9 jusqu'à 5.10.257 inclus | non précisée par NVD |
| 5.11 → 5.15 | 5.11 et suivantes, avant 5.15.208 | 5.15.208 |
| 5.16 → 6.1 | 5.16 et suivantes, avant 6.1.174 | 6.1.174 |
| 6.2 → 6.6 | 6.2 et suivantes, avant 6.6.141 | 6.6.141 |
| 6.7 → 6.12 | 6.7 et suivantes, avant 6.12.91 | 6.12.91 |
| 6.13 → 6.18 | 6.13 et suivantes, avant 6.18.33 | 6.18.33 |
| 6.19 → 7.0 | 6.19 et suivantes, avant 7.0.10 | 7.0.10 |
| 7.1 | 7.1-rc1 à 7.1-rc4 | — |
⚠️ Ces numéros sont les bornes du noyau upstream issues de NVD. Ils ne s'appliquent pas tels quels aux noyaux de distribution, qui rétroportent les correctifs avec leur propre numérotation : fie-toi aux bulletins de ta distribution. NVD cite de nombreux errata Red Hat (RHSA-2026:19521 et suivants) et deux advisories Siemens (SSA-019113, SSA-082556) pour des produits industriels qui embarquent Linux.
Le cas 5.10 et antérieures : la plage NVD va jusqu'à 5.10.257 inclus, sans version corrigée. Les branches 5.4, 4.19 et plus anciennes tombent dans cette plage. Vérifie auprès de ta distribution si un correctif rétroporté existe.
Vérifier la version :
uname -r
Détection
- Identifier les serveurs exposés à la chaîne : serveurs web PHP non corrigés contre PHP2Shell, sur un noyau dans la plage ci-dessus. Ce sont eux qu'il faut traiter en premier.
- Webshells : fichiers
.phprécents dans les répertoires web, en particulier dans les dossiers de téléversement - Processus root dont le parent est le serveur web ou PHP-FPM (
www-data,apache,nginx) - Binaires système dont le contenu en mémoire ne correspond plus au disque : une modification du page cache ne laisse pas forcément de trace sur le disque, un redémarrage la fait disparaître. C'est une déduction du mécanisme : avant de redémarrer une machine suspecte, envisage une capture mémoire.
find /var/www -name "*.php" -newermt "2026-10-01"
ps -eo user,pid,ppid,cmd --forest | grep -B2 -A2 "php-fpm\|apache2\|httpd"
lsmod | grep -E "^esp4|^esp6"
Mitigation
1. Mettre à jour le noyau avant le 31 octobre
Installer le noyau corrigé de ta distribution, puis redémarrer : un noyau installé mais pas chargé ne protège rien. Le live patching, s'il est en place, peut couvrir l'intervalle.
2. Corriger PHP en même temps
Casser un des deux maillons casse la chaîne décrite par la CISA. Mais un serveur où PHP2Shell reste exploitable sera compromis d'une autre façon : les deux corrections vont ensemble.
3. Si IPsec n'est pas utilisé
La faille se déclenche dans le chemin de réception ESP. Sur une machine qui n'utilise pas IPsec, empêcher le chargement des modules esp4 et esp6 réduit probablement la surface d'attaque. C'est une mesure d'attente déduite de la description, pas un correctif : à valider sur ta configuration.
4. Triage forensique
L'entrée KEV renvoie à la directive BOD 26-04, qui exige un triage forensique. Sur un serveur web PHP resté exposé depuis le 21 octobre, considère la compromission comme possible : recherche de webshells, revue des comptes et des clés SSH, des tâches cron et des services ajoutés.
Pourquoi surveiller en continu les noyaux de votre parc
Une faille locale notée 7.8, publiée en mai, n'a déclenché aucune alerte chez la plupart des équipes. Cinq mois plus tard, une faille PHP la transforme en chaîne vers root, et la CISA donne trois jours. Il faut savoir sans chercher quel noyau tourne sur quel serveur, et lesquels hébergent du PHP.
Avec cveo.tech, inventorie tes serveurs avec leur noyau et leurs composants, et reçois une alerte automatique dès qu'une CVE qui les concerne est publiée ou entre au catalogue CISA KEV.