[ダイアリーポイント=崔承振記者] LinuxカーネルのIPv4 TCP処理の過程で、リモートの攻撃者がシステムをクラッシュさせたり、メモリを破損させたりできる脆弱性が公開された。CVE-2026-98432として分類されたこの問題は、10月29日時点でUbuntuおよびRed Hat Enterprise Linux(RHEL)向けの修正カーネルがまだ提供されていない。
この脆弱性は、TCP接続要求を同時に処理する過程で、すでに解放されたソケットオプションをカーネルが再度読み込んでしまうuse-after-free問題だ。攻撃者は外部から特定のTCP要求を繰り返し送ることで競合状態(レースコンディション)を狙うことができ、実際の影響としてはサービス停止やカーネルクラッシュが主に指摘されているが、メモリ破損の可能性も排除されていない。
UbuntuとRHELはまだ修正待ちの状態
Ubuntuのセキュリティ公告は10月15日に登録され、10月29日に内容が更新された。Ubuntu 22.04・24.04・26.04・26.10系列の主要カーネルは「脆弱」または「修正作業中」と表示されており、クラウド向け・リアルタイム向け・ハードウェア別カーネルでも状況が異なる場合がある。
Red Hatは、RHEL 8・9・10およびOpenShift 4系列を影響を受ける製品として分類し、修正作業は今後のアップデートに先送りした。RHEL 7は脆弱なコードを含まないため影響を受けないとされており、Red Hatは現時点で簡単かつ安定して展開できる汎用的な緩和策もないとしている。
一方、すべてのLinux機器が同じ状況というわけではない。Debian Trixie、Oracle Linuxの一部UEKカーネル、Amazon Linux 2023の一部カーネルでは、修正パッケージがすでに公開されている。ディストリビューション名だけでは判断できず、インストールされているカーネル系列とベンダーのパッケージ提供状況を併せて確認する必要がある。
自分の機器とカーネルはコマンドで確認できる
ターミナルでcat /etc/os-releaseを実行すると、Ubuntu・Debian・RHELなどディストリビューションとバージョンを確認できる。現在実行中のカーネルはuname -rで確認し、サーバーやNASのように外部からTCP接続を受け付ける機器ほど優先的に確認すべきだ。
Ubuntuではsudo apt update && sudo apt full-upgrade、RHEL系列ではsudo dnf update kernelを実行することで、ベンダーのリポジトリにある最新パッケージを確認できる。新しいカーネルがインストールされても、現在実行中のカーネルは即座には切り替わらないため、稼働中のサービスや再起動のタイミングを確認したうえで再起動し、再度uname -rで確認する必要がある。
修正パッケージがまだ提供されていないUbuntuやRHELの利用者は、インターネット上から任意にカーネルをダウンロードしたり、脆弱性修正コミットだけを選んで自己判断で適用したりしてはならない。公式リポジトリとセキュリティ公告の状況を定期的に確認し、不要な外部公開TCPサービスを閉じたり、アクセス可能なネットワークを制限したりすることで露出範囲を減らすことはできるが、これはベンダーが保証した脆弱性への対処法ではない。
一般的なスマートフォンやルーターの利用者が、Linuxという理由だけで直ちに影響を受けるわけではない。該当製品のメーカーが独自にカーネルを管理しているため、製品のセキュリティ公告やファームウェア更新を確認する必要があり、個人用PCについても、Ubuntuなどのディストリビューションを自分でインストールした場合に限り、上記の手順で確認すればよい。UbuntuおよびRHELの修正パッケージの公開時期は、10月30日現在まだ決まっていない。