要点
- Linux カーネルの、IPv4 の TCP 接続を受ける部分に欠陥が見つかり、Ubuntu などは外からコードを実行されるおそれがあるとしている（CVSS 9.8）。
- Red Hat・Debian・Amazon Linux などは修正版を出したが、Ubuntu の LTS 版（22.04・24.04・26.04）の修正はまだ試験用の配布先にあり、それより古い版は修正待ちだ。
- 修正版のカーネルを入れても、再起動しないと直らない。
何が起きたか
Linux カーネルに CVE-2026-98432 という欠陥が見つかった。サーバーが IPv4 の TCP 接続を受け付けるときの処理に問題がある。
Debian と Ubuntu の説明によると、接続の受け付けの途中で、もう捨てたメモリを別の処理が読みに行くことがある。これを「use-after-free（解放したあとのメモリを使ってしまう欠陥）」と呼ぶ。タイミングがずれた接続の要求が重なると起きる。
Ubuntu は CVSS（欠陥の重さを0〜10で表す点数）を 9.8 とし、優先度を「Critical」にしている。Ubuntu のセキュリティチームは、遠隔からのコード実行につながりうると書いている。Red Hat も、認証なしの攻撃者がコードを実行できるおそれがあるとして「Critical」と評価した。一方で Red Hat は、悪用には「正確なタイミング」が要るとも書いている。Amazon Linux は点数を 8.1 とし、主に起きるのはクラッシュ（サーバーが止まること）で、メモリが壊れるおそれもある、と説明している。
Canonical（Ubuntu を作る会社）によると、当たるのはカーネル 4.4 以降だ。Debian は、Linux の本体に入った修正として、7.3-rc7 のコミットを挙げている。CVE は10月15日に公表された。
Canonical のブログは、Anthropic が作った、まだ公開されていない攻撃コードに触れている。そのコードは、MPTCP（1つの接続で複数の回線を使う仕組み）を使う形だと説明されている。ただし Canonical は、欠陥そのものは MPTCP に限らない、とはっきり書いている。Red Hat も、MPTCP を切っても当たる、としている。
ディストリビューション（Linux を配布する会社や団体）によって、修正の進み具合が違う。
- Red Hat: RHEL 8・9・10 向けの修正を11月1日に出した。OpenShift など RHEL のカーネルを使う製品も当たりうるとしている。
- Debian: bookworm（12）と trixie（13）の修正をセキュリティ更新で出している。
- Amazon Linux: Amazon Linux 2 と 2023 の修正を10月24日から30日にかけて出した。
- Ubuntu: 22.04・24.04・26.04 の修正は「-proposed」という試験用の配布先にある。ふだんの更新ではまだ届かない。正式に出す日は示していない。20.04・18.04・16.04 は修正待ちだ。
攻撃コードについて、Canonical は11月2日の時点で、Anthropic のもの以外に作られた・公開されたものは知られていない、と書いている。Anthropic はそのコードを公開していないと報じられている。
日本の利用者への影響
日本での使われ方や、日本の組織への影響について書いた一次情報は、見当たらない。RHEL・Ubuntu・Debian・Amazon Linux を使っていて、外から TCP の接続を受けるサーバーなら、Web サーバーに限らず当たりうる。
Ubuntu を使う組織は、正式な修正が出るまで待つか、試験版を入れるかを決める必要がある。
今すぐやること
- 自分のサーバーの OS とカーネルの版を確かめる。 社内の担当者や委託先に、どの Linux を何台使っているかを聞く。
- RHEL・Debian・Amazon Linux なら、すぐ更新する。 修正版のカーネルを入れたあと、再起動して初めて直る。Red Hat は再起動が要ると明記している。
- Ubuntu なら、正式な修正が出たらすぐ入れられるように準備する。 Canonical は、安全のための更新だけが適切な対策だと言っている。急ぐ場合は試験版を入れる手もあるが、試験中であることを承知のうえで判断する。
- MPTCP を切るだけで安心しない。 Red Hat と Canonical は、MPTCP を切っても欠陥は残るとしている。
- 一時しのぎの通信の遮断は、効果が限られると知っておく。 Red Hat は、IPv4 の特別なオプションが付いた通信を落とす設定を示しているが、悪用を完全には防げず、修正の代わりにはならないとしている。
背景
カーネルは OS の中心の部分で、ここに欠陥があると、サーバーをまるごと乗っ取られるおそれがある。TCP の接続を受ける部分は、ネットに向いたほとんどのサーバーで動いている。だから点数が高い。
今回は、カーネル本体に修正が入ったあとも、ディストリビューションによって修正が届く時期が大きくずれた。Ubuntu は、2,000以上の認定サーバーや機器で試験してから正式に出すとしている。点数の付け方も、Ubuntu の 9.8 から Amazon の 8.1 まで分かれている。欠陥の重さの見方が会社ごとに違うことを示す例だ。
技術者向けの詳細
- CVE: CVE-2026-98432。IPv4 TCP の接続の受け付けで、request socket の IP options を子ソケットへ移すときに複製しないため、再送された SYN と競合して解放後のメモリを読む。
net.ipv4.tcp_migrate_req=1のときの移行にも似た問題がある（Debian・Ubuntu の説明）。IPv6 は主な経路では当たらない。 - 修正のコミット: e3f33b0a1d89（“ipv4: free inet_opt and ireq_opt after an RCU grace period”）、7.3-rc7。
- RHEL（2026-11-01）:
- RHEL 8.10:
kernel-4.18.0-553.182.1.el8_10（RHSA-2026:93414） - RHEL 9.8:
kernel-5.14.0-687.64.1.el9_8（RHSA-2026:93412） - RHEL 10.2:
kernel-6.12.0-211.72.1.el10_2（RHSA-2026:93413）
- RHEL 8.10:
- Ubuntu（-proposed、
linuxパッケージ）: 22.04 は 5.15.0-203.213、24.04 は 6.8.0-149.149、26.04 は 7.0.0-43.43。aws・azure・gcp・fips などのカーネルも別の版で作業中。20.04・18.04・16.04 は未修正（20.04 と 18.04 は ESM、16.04 は ESM Legacy の範囲）。版ごとの状況は Ubuntu の CVE ページ を見る。 - Debian: bookworm は 6.1.190-1（DLA-4841-1）、linux-6.12 は 6.12.113-1~deb12u1（DLA-4850-1）、trixie は 6.12.113-1（DSA-6568-1）。
- Amazon Linux: ALAS2-2026-4065、ALAS2023-2026-3365 など。
- 版の確かめ方（動いているカーネルと、入っているカーネル）:
uname -r
rpm -q kernel # RHEL / Amazon Linux
dpkg -l 'linux-image*' | grep ^ii # Ubuntu / Debian
uname -r が修正版より古ければ、入れても再起動がまだだ。
- 一時しのぎ: Red Hat は、IPv4 options 付きの TCP を落とす nftables のルールを RHSB-2026-016 で示している。IPv4 options に頼る通信が切れる。OpenShift では、クラスタ内の Pod 同士の通信にはこのルールがかからない（フィルタされない）と Red Hat は書いている。カーネルを更新したらルールを外す。
- 攻撃コード: Canonical は、Anthropic のもの以外は知られていないとしている（11月2日時点）。
