Linux内核最近的安全形势越来越糟。就在“Dirty Frag”漏洞刚引发广泛关注后，研究人员又披露了一个新的本地提权漏洞——Fragnesia（CVE-2026-46300）。这个漏洞不仅已经出现公开PoC代码，而且攻击成功后可让普通用户直接获得Root权限。
根据Wiz官方博客和安全团队V12的分析，Fragnesia存在于Linux内核的XFRM子系统中，涉及IPsec支持里的ESP-in-TCP处理逻辑。攻击者通过精心构造操作，可以篡改页缓存（page cache）中的数据，而磁盘上的原始文件却不会被修改。
这意味着什么？简单来说，就是系统管理员即使检查磁盘文件，也可能看不出任何异常，但内存中的程序已经被攻击者“偷偷换掉”。
研究人员演示的PoC代码甚至直接针对/usr/bin/su进行攻击，最终成功弹出Root Shell。由于利用过程稳定、成功率高，这类漏洞比传统内核提权更危险。
更麻烦的是，Fragnesia并不是完全独立的新漏洞。Google旗下安全公司Wiz认为，它属于“Dirty Frag”漏洞家族的一部分。而令人尴尬的是，Fragnesia竟然还是此前修复Dirty Frag补丁时“意外引入”的新问题。
这种情况在Linux内核历史上并不罕见：修补一个漏洞，却因为复杂的内存管理机制，反而制造出新的安全缺陷。
事实上，这已经是近期第三个与页缓存机制有关的高危提权漏洞。此前曝光的“Copy Fail”同样利用page cache覆盖只读文件，而Dirty Frag则通过网络栈相关逻辑实现权限提升。如今Fragnesia再次出现，说明Linux内核在内存页与缓存处理方面可能存在更深层的问题。
目前最危险的一点在于：公开利用代码已经流出。
这意味着攻击门槛被大幅降低。一旦攻击者能够获得普通账户权限，就可能进一步夺取整个系统控制权。对云服务器、多用户Linux主机以及容器环境来说，风险尤其高。
安全研究员Hyunwoo Kim指出，Dirty Frag与Fragnesia之所以危险，是因为它们都具备“高可靠性”。很多传统本地提权漏洞利用条件苛刻，但这一系列漏洞却异常稳定，几乎可以稳定拿到Root权限。
对于管理员而言，现在最现实的建议只有三个：
- 尽快更新内核补丁
- 限制普通用户本地访问权限
- 重点监控异常的page cache与XFRM/IPsec行为
尤其是启用了IPsec相关功能的Linux服务器，需要优先排查。
过去几年里，Linux一直被认为在服务器领域拥有较强安全性，但近期连续出现的Dirty Pipe、Dirty Frag、Copy Fail以及Fragnesia，也再次提醒业界：内核级内存管理问题，往往才是真正最难防守的安全战场。
苏公网安备32021302001419号