惊现内核幽灵！Linux再爆Fragnesia高危漏洞，两周三连击，本地用户秒变root！

科技财经时报2026年05月14日 11:16消息，Linux内核曝Fragnesia高危漏洞，本地用户可提权至root，两周内第三次严重安全事件。

　　 5 月 14 日消息，科技安全媒体 CyberKendra 于昨日（5 月 13 日）发布深度技术通报，指出 Linux 内核在短短两周内接连遭遇三起高危本地提权漏洞冲击——继此前引发广泛关注的“Copy Fail”与“Dirty Frag”之后，第三个被命名为“Fragnesia”的全新漏洞浮出水面。这一连串密集爆发的内核级缺陷，已远超常规漏洞披露节奏，暴露出Linux底层网络子系统长期积累的技术债务与测试盲区，值得整个开源生态高度警觉。

　　该漏洞由安全研究员 William Bowling 联合 V12 Security 团队联合披露，确认为一个无需前置权限的本地提权（LPE）漏洞：任何普通未授权用户，无需宿主机层面的任何现有特权，即可在目标系统上稳定获取 root 权限。尤为严峻的是，该漏洞利用过程完全规避了传统依赖的时间竞争条件（race condition），稳定性与复现性极高，极大降低了攻击门槛——这意味着它不仅具备理论风险，更已具备现实可利用性。

　　通报明确指出，Fragnesia 的攻击面仍聚焦于 Linux 内核中相对小众但关键的 XFRM ESP-in-TCP 子系统，该模块负责通过 TCP 协议承载和处理 IPsec 加密流量（即 ESP 封装的安全数据包）。问题根源在于内核对共享页碎片（shared page fragments）与 socket buffer（套接字缓冲区）合并操作中的逻辑疏漏：当多个缓冲区共享同一内存页时，内核在特定路径下会错误地“遗忘”某碎片仍处于共享状态，从而在后续内存管理中释放或重用该页，为攻击者制造出可控、可预测的任意地址写入原语。

　　值得注意的是，此次攻击链设计极为精巧且具有教科书级的工程严谨性。攻击者首先调用 unshare() 创建隔离的用户命名空间与网络命名空间，在此受限环境中即可合法获得 CAP_NET_ADMIN 能力——这并非提权结果，而是利用起点，凸显了 Linux 命名空间机制在安全边界设计上的微妙张力。随后，攻击者复用已知 AES-128-GCM 密钥构建特制 ESP 安全关联，并预置 256 项查找表，为后续逐字节精准覆写奠定基础。这种将密码学原语转化为内存操控工具的手法，反映出当前高级漏洞利用已深度融合系统编程、密码协议与内核内存模型知识。

　　最令人不安的环节在于攻击的“无痕性”：攻击者将目标二进制文件 /usr/bin/su 的内存页直接拼接入 TCP 套接字缓冲区，再切换至 espintcp ULP 模式，触发内核自动解密流程。此时，AES-GCM 解密产生的密钥流（keystream）会直接异或（XOR）进该文件在页缓存（page cache）中的副本，从而实现对内存中 su 文件前 192 字节的精确比特翻转。攻击者借此注入一段极简的 ELF 桩代码，其功能仅为调用 setresuid(0,0,0) 并执行 /bin/sh——这意味着一旦有用户运行 su 命令，系统将瞬间落入 root shell，而磁盘上的原始文件毫发无损。

　　这一特性对运维与安全响应构成实质性挑战。由于篡改仅存在于内存页缓存，主流文件完整性监控（FIM）、基于哈希比对的检测工具乃至大多数 EDR 解决方案均无法捕获异常。管理员可能反复验证 /usr/bin/su 的磁盘文件哈希值正常，却对内存中已被劫持的执行体浑然不觉。这再次印证一个基本事实：现代操作系统安全已不仅是“文件是否被改”，更是“代码是否在内存中按预期运行”。对内存态攻击的可见性缺失，已成为当前终端防护体系中最显著的短板之一。

　　研究人员强调，Fragnesia 并非独立存在，其影响范围与 Dirty Frag 高度重叠：所有受 Dirty Frag 影响、且尚未应用 2026 年 5 月 13 日官方补丁的内核版本，均确认受 Fragnesia 威胁。V12 Security 已在 Ubuntu 22.04 与 24.04 发行版上完成完整验证，涵盖内核版本 6.8.0-111-generic。尽管 Ubuntu 默认启用的 AppArmor 对非特权用户命名空间施加了限制，客观上抬高了初始利用门槛，但通报明确指出，该限制仅需额外一步绕过即可突破，不属于漏洞本体防护机制——换言之，AppArmor 提供的并非根本性缓解，而仅是临时性摩擦。

　　当前最务实的缓解措施，与应对 Dirty Frag 一致：若系统业务不依赖 IPsec ESP over TCP 或 RxRPC 协议，应立即禁用相关内核模块（如 xfrm_user、espintcp 等），从攻击面源头进行收缩。对于已怀疑遭入侵的系统，单纯杀进程或清除可疑文件远远不够；必须执行 sync && echo 3 > /proc/sys/vm/drop_caches 清理页缓存，或更彻底地重启主机。然而，这些均为应急之策。真正可持续的防御，仍在于尽快部署发行版推送的内核更新——针对 Fragnesia 的上游补丁已于 2026 年 5 月 13 日正式提交至 Linux 主线，标志着修复工作已进入实质交付阶段。