Linuxカーネルの脆弱性 CVE-2026-98432 についてまとめてみた - piyolog

何が起きたのか

2026年10月15日、Linuxカーネルの脆弱性情報を管理するCNAが、IPv4のTCP処理に関する脆弱性 CVE-2026-98432 を公開しました。TCPは、インターネットでデータをやり取りする基本の通信ルールです。この脆弱性は、使い終わって解放されたメモリをあとから読んでしまう use-after-free と呼ばれる種類の不具合です。発見と報告は Anthropic が行いました。

主な数字と事実

• CVSS(危険度を0〜10で表す点数)は 9.8 で、最も高い Critical 扱いです。
• 攻撃に必要な認証はありません。
• 影響を受けるのは 4.4 以降のLinuxカーネルで、各系列の修正版より前のものです。
• 上流の修正版は 8 系列(5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、7.3)です。
• 2026年10月29日時点で、KEV(実際に悪用が確認された脆弱性の一覧)には載っていません。

もう少し詳しく

攻撃者が特別なオプション付きの接続要求を送り、2つのCPUが同時にその要求を処理すると、解放済みの領域を読んでしまいます。Anthropic は、この不具合を使うと、まず内部の情報を盗み見て、次に攻撃者が選んだコマンドを root 権限で動かせると示しました。ただし、これは MPTCP という仕組みを使うサーバーでの実証です。CVE の記述が挙げる対象は、接続を受け付ける IPv4 の TCP サービス全般です。

なぜ大事なのか

Linuxは多くのサーバーで使われているため、影響は広い可能性があります。危険度の評価は機関によって割れています。CNAとSUSE、Oracle、Amazon、Red Hat の評価は、攻撃の難しさの見方だけが違い、CNAは Low、他の多くは High としています。だからこそ、自分の使っている配布版の修正情報を早く確認することが大切です。

これから注目したいこと

• Debian、Ubuntu、Red Hat、SUSE などの配布元が、修正版をいつ出すか。
• Ubuntu の一部の古い版や Red Hat の一部など、まだ作業中の製品に修正が届くか。
• CVSS の評価が今後どう変わるか。
• KEV に追加され、実際の攻撃が報告されるかどうか。