CVE-2026-46300: ядро Linux рядом с ошибками PHP
28 октября CISA внесла CVE-2026-46300 в каталог известных эксплуатируемых ошибок. Это локальная дыра ядра. Её уже связывали с двумя критическими ошибками PHP, чтобы выполнять команды от root.
Патч PHP закрывает интерпретатор. Он не обновляет ядро машины, на которой этот интерпретатор живёт. CVE-2026-46300 как раз про машину. CISA пишет, что ошибку использовали вместе с CVE-2026-109618 и CVE-2026-109619: сначала код на сайте, затем команды уже от root. Для владельца витрины это означает простую развилку. Обновили PHP и не перезагрузили сервер с новым ядром - закрыли дверь в квартиру и оставили открытой дверь подъезда.
Что это не значит
Это не ещё одна дыра в WordPress и не способ «зайти на любой Linux из интернета» сами по себе. Карточки ставят оценку около 7.8, и рядом с девяткой PHP цифра выглядит спокойной. Спокойствие здесь обманчивое: семёрка становится root, когда на той же машине уже есть выполнение кода от пользователя веб-сервера. Механику разбора сетевых фрагментов пересказывать незачем. Для решения хватает факта и патча дистрибутива.
Что сделать
- Поставить обновление ядра из своего дистрибутива и перезагрузить сервер. Пакет в кэше без reboot не считается.
- Не откладывать это «на ночь после PHP». CISA описывает их как одну цепочку, не как две независимые новости.
- Если на сайте уже находили чужие файлы, одного ядра мало. Смотрите процессы и каталог, патч историю не стирает.
Связанные услуги Lexora
PHP обновили, ядро не трогали
Проверим, какая сборка ядра реально загружена, а не какая лежит в списке пакетов.