Linux-Kernel-Lücke CVE-2026-46300 wird verkettet, um PHP-Webshells zu platzieren

Was ist passiert

Eine Schwachstelle im Linux-Kernel, erfasst als CVE-2026-46300, wird als aktiv ausgenutzt geführt. Es handelt sich um eine fehlende Initialisierung einer Variablen. Beim Zusammenführen von Socket-Puffern verliert der Kernel die Markierung, die einen Fragment als geteilt kennzeichnet. Dadurch kann die Verarbeitung der ESP-Eingabe (IPsec) geteilte Fragmente direkt an Ort und Stelle entschlüsseln. Das kann zu einer unbeabsichtigten Änderung von Daten im Page Cache führen, also an den im Arbeitsspeicher gehaltenen Kopien von Dateien.

Die Schwachstelle ist seit dem 23. Mai 2026 öffentlich bekannt. Aktive Angriffe hat die CISA am 28. Oktober 2026 bestätigt: Systeme, die seit der Veröffentlichung nicht aktualisiert wurden, sind jetzt akut gefährdet.

Laut der Quelle können Angreifer diese Lücke mit CVE-2026-109618 und CVE-2026-109619 verketten, um PHP-Webshells zu platzieren und Befehle als root auszuführen. Ein CVSS-Wert wurde bisher nicht veröffentlicht.

Für die stabilen Linux-Kernel-Zweige wurden Korrekturen übernommen. Die Commit-Links finden Sie in den unten genannten Quellen.

Wer ist betroffen

Linux-Server mit einem Kernel ohne diese Korrekturen sind betroffen. Die Lücke liegt im ESP-Eingabepfad des Kernels, der Teil von IPsec ist. Webserver, auf denen PHP läuft, sollten besondere Aufmerksamkeit erhalten, da die bekannte Angriffskette in PHP-Webshells und der Ausführung von Befehlen als root endet.

Die Quelldaten nennen keine genauen betroffenen oder korrigierten Kernel-Versionen. Prüfen Sie die Sicherheitshinweise Ihrer Distribution, etwa von Debian, Ubuntu, RHEL/AlmaLinux/Rocky oder SUSE, und suchen Sie das gepatchte Kernel-Paket für Ihre Version heraus.

Was Sie jetzt tun sollten

1. Prüfen Sie den Sicherheits-Tracker Ihrer Distribution auf CVE-2026-46300 und ermitteln Sie das korrigierte Kernel-Paket für Ihre Version.
2. Installieren Sie den aktualisierten Kernel, zum Beispiel mit apt update && apt full-upgrade auf Debian/Ubuntu oder dnf update kernel auf RHEL-basierten Systemen.
3. Starten Sie den Server neu, damit der neue Kernel geladen wird. Die bloße Installation des Pakets schützt ein laufendes System nicht. Falls Sie einen Dienst für Live-Patching des Kernels nutzen, prüfen Sie, ob dieser diese CVE abdeckt.
4. Kontrollieren Sie nach dem Neustart, ob der neue Kernel läuft und Ihr Webserver, PHP-FPM, Datenbank- und Mail-Dienste korrekt gestartet sind.
5. Prüfen Sie CVE-2026-109618 und CVE-2026-109619 und spielen Sie verfügbare Updates für die betroffene Software ein, da die bekannte Angriffskette von ihnen abhängt.
6. Wenn Sie nicht sofort patchen können, priorisieren Sie aus dem Internet erreichbare Server und folgen Sie den Empfehlungen Ihrer Distribution zu Übergangsmaßnahmen, sofern welche veröffentlicht wurden.

So prüfen Sie, ob Sie betroffen sind

• Führen Sie uname -r aus, um den laufenden Kernel anzuzeigen, und vergleichen Sie ihn mit der korrigierten Version im Sicherheitshinweis Ihrer Distribution.
• Stellen Sie sicher, dass der laufende Kernel dem neuesten installierten Kernel-Paket entspricht. Ein ausstehender Neustart lässt den Server verwundbar.
• Da die Angriffskette zum Platzieren von PHP-Webshells genutzt wird, durchsuchen Sie Ihre Webverzeichnisse nach kürzlich geänderten oder unerwarteten PHP-Dateien, zum Beispiel mit find /var/www -name '*.php' -mtime -30, und prüfen Sie unbekannte Dateien.
• Werten Sie die Zugriffsprotokolle des Webservers auf Anfragen an unbekannte PHP-Dateien aus und prüfen Sie auf unerwartete Prozesse, Cron-Jobs oder neue Benutzer mit root-Rechten.
• Wenn Sie Hinweise auf eine Kompromittierung finden, behandeln Sie den Server als kompromittiert. Isolieren Sie ihn, sichern Sie die Protokolle zur Analyse und stellen Sie ihn aus einer vertrauenswürdigen Quelle neu her, statt nur die Dateien zu entfernen.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-46300
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog