LinuxカーネルCVEチームは10月15日、IPv4のTCP接続処理に存在する脆弱性「CVE-2026-98432」を公表した。ネットワーク経由で認証なしに悪用される可能性があり、LinuxカーネルCVEチームによるCVSS v3.1の基本値は9.8（Critical）

Canonicalも同脆弱性の情報を公開しており、Ubuntuの複数のバージョンについて、影響を受ける状態であることを明らかにしている。

  • Linuxカーネルに脆弱性「CVE-2026-98432」が確認された

    Linuxカーネルに脆弱性「CVE-2026-98432」が確認された

TCP接続処理にUse-After-Freeの脆弱性

CVE-2026-98432は、LinuxカーネルのIPv4 TCP接続処理に存在するUse-After-Free（解放済みメモリの使用）の脆弱性だ。

TCP接続要求の再送やソケットの移行処理が並行して実行される際、別の処理が使用しているメモリが解放され、解放済みのメモリにアクセスする可能性がある。

攻撃者が細工した通信を送信してこの状態を引き起こした場合、カーネルのメモリ破壊やシステムのクラッシュにつながる恐れがある。

LinuxカーネルCVEチームによると、問題はカーネル4.4で導入された処理に由来する。主な問題はIPv4のTCP接続処理にあり、IPv6の通常の接続処理には同じ問題は存在しない。ただし、IPv6にも特定の条件下で関連する問題があり、別途修正される予定だ。

Anthropicは10月27日、未公開のAIモデルを用いて同脆弱性を悪用する攻撃コードを開発したと発表した。研究環境では、MPTCP（Multipath TCP）の待ち受け機能を持つLinuxサーバに対し、認証なしでroot権限によるコマンド実行に成功したという。ただし、実際の攻撃で悪用されたことを示す情報は確認されていない。

Ubuntu 24.04 LTSなどで修正作業中

Canonicalが10月29日に更新した情報によると、Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS、26.10などの標準カーネルパッケージは、脆弱性の影響を受ける状態となっている。

これらのバージョンでは修正作業が進められているが、同日時点で修正済みとはされていない。

Ubuntuには標準カーネルのほか、AWS、Azureなどの環境向けに異なるカーネルパッケージが提供されている。影響や修正状況はパッケージごとに異なるため、管理者は利用中のカーネルに対応する情報を確認する必要がある。

一方、Red Hatも同脆弱性について情報を公開している。Red Hatは攻撃の複雑さを「高い」と評価しており、悪用された場合、システムのクラッシュによるサービス拒否（DoS）やメモリ破壊が発生する可能性があるとしている。

Red Hat Enterprise Linux（RHEL）の利用者についても、製品やバージョンごとに影響状況を確認する必要がある。

Linuxカーネル上流では修正済み、管理者は更新状況の確認を

LinuxカーネルCVEチームによると、この脆弱性はカーネル6.12.113、6.18.56、7.2.10、7.3-rc7で修正されている。

ただし、UbuntuやRHELなどのLinuxディストリビューションでは、独自のカーネルパッケージに修正を取り込む場合がある。このため、カーネルのバージョン番号だけで脆弱性の有無を判断することはできない。

管理者は、稼働中のカーネルバージョンとパッケージの種類を確認し、各ディストリビューションが公開するセキュリティ情報を参照する必要がある。

特に、インターネットに公開されたTCPサービスを運用しているサーバでは、影響の有無を優先して確認したい。

修正版が提供されている場合は、運用への影響を確認したうえで更新することが推奨される。修正版が未提供の場合も、不要なサービスの公開停止やアクセス制限など、攻撃を受ける可能性を減らす対策を検討する必要がある。