Linuxの脆弱性CVE-2026-98432、遠隔root権限の実証と対応状況

Anthropicは10月27日、Linuxカーネルの脆弱性「CVE-2026-98432」を利用し、特定の構成のLinuxサーバーでログイン不要のままroot（最上位の管理者）権限のコマンドを実行させることに、研究環境で成功したと発表しました。深刻度を示すCVSSは、最高10点のうち9.8とする評価が報じられています。この問題は10月15日にLinuxカーネルのCVEチームが公表しており、Ubuntuなど一部のディストリビューションでは、10月下旬の時点で修正版の配布が終わっていません。

何があった？

アスキーの報道によると、問題はLinuxカーネルのIPv4通信を扱う部分にあります。ネットワーク越しに悪用でき、攻撃にあたってパスワードなどの認証や、利用者の操作は要らないとされています。

Anthropicは同社のFrontier Red Teamがまとめた研究報告でこの脆弱性を取り上げました。マイナビニュースとロケットボーイズによると、対象は複数の通信経路を束ねるMultipath TCP（MPTCP）の待ち受け機能を持つサーバーです。AIが作成した攻撃用のプログラムにより、遠隔からのroot権限でのコマンド実行に至ったと報告しています。

所要時間について、ロケットボーイズは、カーネル内部の情報を得るまでに48分、そこからコマンド実行までにさらに5分だったと伝えています。

脆弱性のあらまし

この脆弱性は、OSの中核であるカーネルが通信を処理している最中に、すでに不要になったメモリを誤って使ってしまう不具合です。ロケットボーイズによると、複数の処理が重なるタイミングで起きる種類の問題だということです。

影響としては、カーネルが異常終了してサービスが止まる恐れがあります。さらに、メモリの破壊を通じて深刻な侵害につながる可能性も指摘されています。アプリケーションの不具合とは違い、OSの土台で起きる問題である点が重く見られています。

修正は、Linuxカーネルの上流（開発元）ではすでに取り込まれています。ただ、サーバー管理者の手元に届くのは、利用中のディストリビューションが修正版を配布してからです。

誰が影響を受ける？各社の対応状況

影響の有無と修正の進み具合は、ディストリビューションごとに異なります。確認した時点も報道によって違うため、最新の状況は配布元の情報で確かめる必要があります。

• Ubuntu：ロケットボーイズによると、Canonicalが10月28日に更新した情報では、標準カーネルは26.10、26.04 LTS、24.04 LTS、22.04 LTSで「Vulnerable／修正作業中」です。20.04 LTS、18.04 LTS、16.04 LTSは「Vulnerable」、14.04 LTSは「影響なし」とされています。アスキーは、10月29日更新の情報でも複数のバージョンが修正作業中か脆弱な状態だと伝えています。
• RHEL：softantenna.comとcrystal-method.comによると、10月30日時点でRHEL 8、9、10とOpenShift 4が影響を受け、修正版は出ていません。RHEL 7は影響なしと伝えられています。
• その他：同じ2サイトによると、Debian 12と13は修正版が公開済みです。Oracle LinuxのUEKカーネル、Amazon Linux 2023の一部、SUSEの一部製品でも提供が始まっています。

「修正作業中」と表示された版番号は、すでに全利用者へ配布されたという意味ではありません。ロケットボーイズも、Canonicalの表では脆弱な状態が続いていると注意を促しています。また、ロケットボーイズによると、Ubuntuには標準カーネルのほかにHWEやクラウド向けなど用途別のカーネルがあり、種類によって状況が異なります。

crystal-method.comは、Ubuntu 20.04 LTS以前については、拡張セキュリティメンテナンス（ESM）の契約がないと修正が届かない可能性があると説明しています。

評価の違いと、実証をどう読むか

CVSSの数値は評価する側によって差があります。ロケットボーイズによると、CanonicalはCVSS v3.1で9.8、v4.0で8.3としています。crystal-method.comは、Red HatとAmazon Linuxが8.1、SUSEがv3.1で8.1、v4.0で9.2としていると紹介しています。同サイトは、Red Hatなどが低めなのは、タイミングの制御が難しく攻撃の複雑さを「高」と見たためだと説明しています。

Anthropicの発表は研究環境での結果です。ロケットボーイズは、一般的なLinuxサーバーのすべてで同じ方法が通用すると示したものではなく、犯罪者による実際の悪用とも区別すべきだとしています。crystal-method.comによると、10月30日時点で実際の攻撃の報告は見当たらず、米CISAの悪用確認済み脆弱性リストにも載っていません。ただし同サイトは、実証がある以上、悪用されていないことを理由に対応を後回しにするのは避けたいという立場です。

なお、同サイトはこの件を「AIが見つけた脆弱性」と位置づけていますが、アスキーなど他の報道は主に「攻撃の実証」として伝えています。発見者の扱いは媒体によって差があります。

サーバー管理者が確認したいこと・今後の注目点

各報道に共通する対応の基本は、利用中のディストリビューションが配布するカーネルの更新を適用することです。具体的には次の点が挙げられています。

• 稼働中のカーネルと、配布元が公表する修正状況を照らし合わせる。上流の版番号とディストリビューションの版番号は別物なので、数字の大小だけでは判断できません。
• 外部公開しているサーバーや、MPTCPを使うサービスがないかを点検する。
• 修正版が出たら更新し、再起動して新しいカーネルに切り替わったことを確認する。

公式の緩和策について、softantenna.comは「現時点では示されていない」と伝えています。crystal-method.comによると、MPTCPの無効化などはベンダーが公式に推奨する回避策ではないため、試す場合は通信への影響を十分に見極める必要があります。恒久的な対処は、修正版の適用です。

今後は、UbuntuやRHELの修正版がいつ公開されるかが焦点です。実際の悪用が確認されるかどうかも注目点になります。マイナビニュースによれば、Anthropicは詳細な技術情報について、パッチ公開から45日間の猶予を設ける仕組みを適用したと説明しています。

よくある質問

自分のサーバーは影響を受けますか？

使っているディストリビューションとカーネルの種類で変わります。Ubuntuでは標準カーネルとHWE、クラウド向けで状況が異なると報じられているため、配布元の公式情報で確認してください。

すでに攻撃されているのですか？

crystal-method.comによると、10月30日時点で実際の攻撃の報告は確認できていません。Anthropicの実証は研究環境でのものです。