Fragnesia 属于 2026 年上半年出现的 Dirty Frag 一类页缓存写缺陷。根因是内核合并套接字缓冲分片时未把共享分片标记传递下去，ESP/IPsec 收包路径随后误判内存可写，跳开写时复制就地处理数据，导致只读文件的内存副本被改写。它的触发不依赖竞态条件，利用稳定性高，CVSS 3.1 基础分 7.8。

该漏洞的修复在 2026 年 5 月中旬进入网络子系统，此次进入 KEV 不是因为新缺陷，而是观测到了实际的串联利用：攻击者先用面向互联网的 Web 应用漏洞取得低权限代码执行，再用 Fragnesia 提升到 root。安全厂商 Dream 的复盘显示该链路已用于控制数十台防火墙类设备。

修复必须重启进入新内核才生效。上游稳定版 7.0.10、6.18.33、6.12.91、6.6.141、6.1.174、5.15.208 及之后版本包含修复，主流发行版也发布了带补丁内核。无法及时重启时可卸载并阻止 esp4、esp6、rxrpc 模块加载作为缓解，但这会中断 IPsec VPN。改写只发生在内存而不落盘，仅校验磁盘哈希的检测容易漏报。

对企业 IT 的启示是优先级判断方式的变化：本地内核提权漏洞单独立项时容易被排进常规补丁窗口，一旦与边界设备的远程代码执行串成链条，就要按紧急变更处理，同时核对公网入口应用与宿主机、容器底座的内核版本。

出处：Reddit r/linux 社区讨论，技术细节与修复建议参见 Ubuntu 安全公告，原文。