Ing. Calogero Bono
Linuxカーネルの TCP IPv4 コードに見つかった重大な脆弱性 CVE-2026-98432 は、リモートからのコード実行につながるおそれがあります。Red Hatは11月1日、RHEL 8、9、10向けの修正済みカーネルを公開しました。Canonicalは11月2日、Ubuntu 22.04、24.04、26.04 LTSの修正を テスト用チャンネルの-proposedに入れましたが、通常の更新の時期はまだ示されていません。公開されているサーバーを管理している場合、待つか今すぐ適用するかを選ぶ必要があります。
事実に入る前に、いくつかの用語を確認しておきましょう。 CVEは既知の脆弱性を識別するためのコードです。CVSSは重大度を0から10で示す尺度で、この件は9.8です。Use-after-freeは、解放済みのメモリを読み取ってしまうプログラムの誤りです。-proposedはUbuntuの更新を試験的に置いておくチャンネルで、自動ではインストールされません。MPTCPはMultipath TCPのことで、複数の経路を使うプロトコルの一種です。
CVE-2026-98432とはどのような脆弱性ですか？
The Hacker Newsの解説によると、サーバーがTCP IPv4の接続を受け付けると、カーネルは要求のIPオプションをコピーせずに新しいソケットへ渡します。クライアントが要求を再送し、別のプロセッサがそのオプションを読み取っている最中であれば、カーネルは解放済みのメモリを読んでしまうおそれがあります。
攻撃者は、待ち受け中の任意のTCPポートに対して、IPv4のRecord RouteまたはTimestampオプションを付けた要求を送ります。攻撃にアクセス権は必要ありません。主要なIPv6の経路は影響を受けません。この欠陥はカーネル4.4の時点から存在し、上流の修正は10月に公開されました。
深刻度はどの程度で、悪用されたexploitは存在しますか？
カーネルのCVEチームは10点満点中9.8を割り当てています。Red Hatは当初5.9のModerateとしていましたが、その後9.8に引き上げ、Criticalと定義しました。Amazon Linuxは8.1のImportantと評価し、主にメモリ破損を伴うクラッシュの可能性を挙げています。
ベンダー、CERT、カーネルチームのいずれも攻撃を報告しておらず、10月末時点ではCISAの悪用済み脆弱性カタログにも載っていませんでした。Anthropicは、社内の研究用モデルがMPTCPリスナーを持つサーバー向けのrootエクスプロイトを書いたと発表しましたが、コードは公開していません。GitHubにあるのは重大なレースを引き起こすコードだけで、コード実行はできません。
影響を受けるUbuntuのバージョンと、パッチの適用方法は？
Ubuntu公式ブログによると、Jammy(22.04)は-proposedにカーネル5.15.0-203.213があり、Noble(24.04)は6.8.0-149.149、Resolute(26.04)は7.0.0-43.43です。Stonking(26.10)はすでに7.3.0-10.10で修正済みです。Focal、Bionic、Xenialは修正が準備中で、Trustyは影響を受けません。
uname -rで使用中のカーネルを確認できます。修正を先取りするには、add-apt-repositoryで-proposedを有効にし、apt install -tで指定されたバージョンをインストールして再起動します。Canonicalは通常リリースの前に、2,000台を超えるサーバーと認定デバイスで更新を検証しています。古いバージョンにはUbuntu ProのESMが必要です。
パッケージを手作業で管理している場合は、aptとdnfのガイドが手順の助けになります。
回避策はありますか、MPTCPを無効にするだけで十分ですか？
いいえ、MPTCPを無効にするだけでは不十分です。欠陥はMPTCPではなくTCP IPv4の経路にあり、Canonicalはセキュリティチームにとって適切な唯一の対処は更新だと改めて述べています。プロトコルに関する助言は、Anthropicが述べたexploitがそれを使うという理由からのみ生じています。
Red Hatは10月30日、IPオプションを持つTCP IPv4パケットを破棄するnftablesのルールを公開しました。これは既知のトリガーを遮断しますが、悪用を完全に防ぐものではなく、それらのオプションを使うサービスを壊すおそれもあります。ルールはそれが読み込まれたホストにのみ作用し、同じマシン上のコンテナ間の通信はこれをすり抜けるかもしれません。ネットワークのルールについてはLinuxネットワーク設定ガイドから始めるとよいでしょう。
知っておくべき制約
Ubuntuの通常リリースの日付はまだありません。クラウド、FIPS、リアルタイム向けの派生版はまだ作業中とみられ、Canonicalの投稿は汎用カーネルのみを扱っています。Anthropicのexploitは公開されておらず、その有効性は同社の発表によるもので、第三者による検証はありません。実際の攻撃状況は急速に変わる可能性があります。
デジタル業務に携わる人にとっての変化
インターネットに公開されたUbuntu 22.04、24.04、26.04のサーバーを管理しているなら、今-proposedを使うか待つかを決める必要があります。RHEL 8、9、10では、更新をインストールして再起動するだけで済みます。再起動は保守時間帯を確保して計画する必要があります。コンテナや仮想マシンはホストのカーネルを引き継ぐため、それらも確認してください。マネージドホスティングを利用している場合は、提供事業者にパッチの状況を確認するとよいでしょう。
私たちの見解
Canonicalの判断は技術的には慎重ですが、パッチを最も必要とするサーバーが数日間無防備なままになります。認証なしで到達できる9.8の脆弱性には、より迅速な対応が求められます。-proposedを使ってリスクを管理者に委ねるのは、その説明が十分に明確な場合に限って許容できます。ブログはそれを行っていますが、古いバージョンの遅れは依然として問題です。MPTCPの無効化を勧める助言がはっきり否定されたことは評価すべき点です。
よくある質問
CVE-2026-98432はすでに悪用されていますか？
ベンダー、CERT、カーネルチームから攻撃の報告はありません。10月30日時点ではCISAのカタログにも掲載されていませんでした。ただし、Anthropicが述べたexploitは未公開で、GitHubには検証用のコードが存在します。
自分のUbuntuが影響を受けているか確認するには？
uname -rを実行し、そのバージョンをCanonicalの表と比べてください。dpkg -l 'linux-image*'でインストール済みのパッケージを確認できます。更新後は再起動も必要です。
-proposedからパッチをインストールできますか？
テスト中のチャンネルを使うことに同意するなら可能です。-proposedを有効にし、カーネルを明示的に指定してインストールしてください。自動では更新されないため、そのあと再起動します。
MPTCPを無効にすれば問題は解決しますか？
いいえ。脆弱性はMPTCPではなくTCP IPv4の経路にあり、Canonicalもそのことを指摘しています。この助言はAnthropicが述べたexploitが同プロトコルを使うことに由来するものにすぎません。
Ubuntu 20.04以前の場合はどうなりますか？
現時点で修正はありません。Focal、Bionic、Xenialは待機中で、Ubuntu ProのESMを通じて提供される予定です。Trustyは影響を受けません。
今後数日でUbuntuカーネルについて注目すべき点
焦点は、Canonicalの通常リリースと、exploitが公開されるかどうかにあります。
- Ubuntuの該当CVEページで、updatesチャンネルでの公開日とクラウド向け派生版の情報を確認してください。
- 攻撃の報告が出ていないか、またCISAのカタログに掲載されていないかを確認してください。
- 公開されたサーバーについては、修正が出次第すぐ適用できるよう再起動の時間帯を用意しておいてください。
