Phoronixは8月28日(現地時間)、「The Linux Kernel Is Approaching 2,000 CVEs Per Release - Phoronix」において、Linuxカーネルのリリース当たりに修正される脆弱性(CVE: Common Vulnerabilities and Exposures)が急増し、2000件を超える可能性があると報じた。
これは9月21日から23日にかけて開催予定の「Kernel Recipes 2026」にて講演を予定しているGreg Kroah-Hartman氏が「CVEs per release」と題するグラフを公開したことで明らかになった。
-
修正されたCVE件数の推移 出典：Greg Kroah-Hartman氏の投稿
CVE修正急増、AIによるコード解析も影響か
公開されたグラフを分析すると、Linux 6.9から6.19までは、1リリース当たりおよそ500件の修正件数で推移していたことがわかる。ところが7.0で状況は一変し、2倍以上の1250件ほどに増加。さらに7.2では2000件に迫る勢いとなっている。このペースが続けば、リリース当たりの修正件数は7.3の時点で2000件を超える計算となる。
この急激な変化の背景には、AIによるコード解析の高速化に加え、Linuxカーネルを構成するコードの巨大さがある。記事によるとソースツリーは約4000万行に達するという。
一般的にオペレーティングシステムの中核を構成するカーネルは、幅広いデバイスへの対応、オーバーヘッドの低減、応答性、安定性などが求められ、複雑なコードで構成される。Linuxカーネルのソースツリーは約4000万行に達しており、AI/LLMによる解析によって、これまで見つかっていなかった脆弱性が発見される余地も大きい。
Phoronixは、こうした修正件数の増加の背景として、AI/LLMによるLinuxカーネルのコード解析が広がっていることを挙げている。ただ、実際に発見された問題の多くは深刻度の低い脆弱性であり、古いドライバーや利用頻度の低いコードも含まれる。ただし、Phoronixによると、発見される問題の多くは優先度の低い脆弱性で、古いドライバや利用頻度の低いコードに含まれるものも多く、影響は限定的なケースが多いという。
また、この動きが良い影響を与えた可能性も指摘されている。不具合やセキュリティ問題の報告が過剰に増えたことで、2026年は不要になった古いカーネルコードを整理する動きを促す要因にもなったという。
なお、Kroah-Hartman氏は「すべてのグラフを投稿していません。1カ月後の講演をお待ちください。」と述べ、グラフの内容、捉え方については講演で説明するとした。詳細については講演を待たなければならないが、それでも修正件数が増加傾向にあることは間違いない。
OpenAIサム・アルトマン氏、AI普及の誤算認める 米メディア「役に立たないから」と反論
