Linuxカーネルで発見されたTCP関連の脆弱性「CVE-2026-98432」が注目を集めています。LinuxカーネルのCVEチームはCVSS 9.8という非常に高い深刻度を付与しており、UbuntuやRed Hat Enterprise Linux(RHEL)を含む複数のディストリビューションが影響を受けるとされています。
脆弱性は、TCP接続を確立する際の処理に存在する競合状態(レースコンディション)に起因するもので、解放済みメモリを参照してしまう「Use-After-Free」の問題です。攻撃者は特定の条件下でこの欠陥を悪用し、システムのクラッシュやメモリ破損を引き起こす可能性があります。
AIが脆弱性の悪用コードを作成
この話題が大きな関心を集めている理由のひとつが、脆弱性を発見したAnthropicの発表です。同社は、AIモデル「Claude」がこの脆弱性を利用するエクスプロイトコードを生成し、特定のLinuxサーバー上でroot権限によるコマンド実行を実現したと報告しました。対象となったのはMultipath TCP(MPTCP)を利用するサーバーで、認証不要のリモート攻撃が可能だったと説明されています。
Anthropicによれば、攻撃はまずカーネルメモリ内のアドレス情報を取得するところから始まり、その後アドレス空間配置のランダム化(KASLR)を回避して任意コード実行に至るという流れで行われます。同社のテストでは、情報漏えいまでに約48分、権限昇格までさらに約5分を要したとされています。
ディストリビューションごとに対応状況が異なる
脆弱性自体はすでにLinux本流（upstream 5.10.272 / 5.15.223 / 6.1.190 / 6.6.159 / 6.12.113 / 6.18.56 / 7.2.10 / 7.3）で修正されており、安定版カーネルにもバックポートされています。しかし実際にユーザーが利用できるようになるには、各ディストリビューションが修正版カーネルを提供する必要があります。
記事執筆時点では、Debian、Oracle Linux、Amazon Linux、SUSEの一部バージョンで修正版パッケージが公開されています。一方でUbuntuおよびRHELでは修正版の提供がまだ行われておらず、対応作業が進行中または将来のアップデートでの修正予定とされています。
-
Debian
- 修正版を提供済み
- Debian 13（trixie）および Debian 12（bookworm）向けのアップデートが公開されている
-
Oracle Linux
- 修正版を提供済み
- Oracle Linux 7～10向けのUEKカーネルで対応済み
-
Amazon Linux
- 一部環境で修正版を提供済み
- Amazon Linux 2023の一部カーネル系列は修正完了
- 一方でAmazon Linux 2など一部環境は対応待ち
-
SUSE / openSUSE
- 一部製品で修正版を提供済み
- openSUSE Leap 16.0やSUSE Linux Micro 6.2は対応済み
- SLESやSLE Microの一部製品は引き続き修正作業中
-
Ubuntu
- 修正版は未公開
- Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS、26.10などが影響を受ける
- 現在は対応作業中
-
RHEL（Red Hat Enterprise Linux）
- 修正版は未公開
- RHEL 8、9、10およびOpenShift 4が影響を受ける
- 将来のアップデートで修正予定
-
RHEL 7
- 影響なし
管理者が取るべき対策
すでに修正版カーネルが提供されているディストリビューションでは、できるだけ早くアップデートを適用することが推奨されています。自前でカーネルをビルドしている環境についても、修正が含まれた安定版への更新が推奨されています。
一方、UbuntuやRHELなど修正版がまだ公開されていない環境では、ベンダーからのアップデート情報を継続的に監視することが重要です。現時点では有効な緩和策は公式には示されていません。
