認証不要でリモートコード実行を許す、Linux TCPの重大な脆弱性

Red Hatは、Linuxカーネル内の深刻なリモートコード実行脆弱性に対する重要なパッチをリリースしましたが、Ubuntuは修正プログラムをオプトイン形式のテストチャネルに配置しています。CVE-2026-98432として識別されるこの欠陥は、IPv4 TCP実装に影響し、CVSSスコアは10点満点中9.8点です。これは、主要なディストリビューションでLinuxサーバーを管理するインフラチームにとって、重大なセキュリティイベントとなります。

何が起きたか

この脆弱性は、LinuxカーネルがIPv4 TCP接続を処理する方法におけるuse-after-freeエラーに起因しています。サーバーが接続を受け入れる際、受信リクエストからIPオプションを新しいソケットへ渡しますが、そのコピーを作成しません。別のプロセッサがまだこれらのオプションを読み取っている間にクライアントが接続リクエストを再送信すると、カーネルはすでに解放されたメモリにアクセスしてしまう可能性があります。攻撃者は、特定のIPv4 Record RouteまたはTimestampオプションを含む接続リクエストを、リッスンしているTCPポートへ送信することで、この競合状態を引き起こすことができます。認証は不要であり、攻撃ベクトルは完全にリモートです。

Red Hatは当初、この問題をModerate（5.9点）と評価していましたが、さらなる分析後にCritical（9.8点）へと格上げしました。このバグはバージョン4.4以降のカーネルに存在していましたが、上流での修正は10月にのみマージされました。Red Hatは11月1日にRHEL 8、9、10向けの更新を提供し、有効化には再起動が必要であるとしました。Ubuntuは11月2日、22.04、24.04、26.04 LTSリリース向けの修正が-proposedポケット（オプトイン形式のテストチャネル）で利用可能になったと発表しました。Canonicalは、2,000台以上の認定デバイスでテストを継続中のため、通常の更新チャネルへのリリース日は未定であると述べています。

仕組み

核心的なメカニズムは、TCPハンドシェイク中の競合状態に関わっています。通常、TCPパケットが届くと、カーネルはそのヘッダーとオプションを処理します。この欠陥のある実装では、カーネルは元のパケットバッファから直接IPオプションを参照し、安全で永続的な場所へコピーしません。ネットワークスタックが同じパケットの再送を異なるCPUコアで並行して処理する場合、元のバッファが2回目の読み取り完了前に解放または再利用される可能性があります。これにより、攻撃者は読み取られるメモリ内容を操作でき、結果としてroot権限による任意のコード実行につながる可能性があります。

メインパスではIPv6は影響を受けず、範囲はIPv4トラフィックに限定されています。一部のアドバイザーはMultipath TCP (MPTCP) の無効化を回避策として提案しましたが、Canonicalはこの欠陥が標準的なIPv4 TCPパスに存在するため、MPTCP設定は主なエクスプロイトベクトルに対して無関係であると明確にしました。唯一信頼できる緩和策は、カーネルパッチを適用することです。Red Hatは、IPオプションを持つ受信IPv4 TCPパケットを破棄するための暫定的なnftablesルールを提供しましたが、これは正当なワークロードを破壊する可能性があり、特に同一ホスト上のコンテナートラフィックについては、悪用を完全に防ぐわけではありません。

主要な詳細

• 脆弱性ID: CVE-2026-98432、LinuxカーネルCVEチームにより9.8/10と評価。
• 影響を受けるシステム: バージョン4.4以降のLinuxカーネル。具体的にはRHEL 8、9、10およびUbuntu 22.04、24.04、26.04 LTSに影響。
• 攻撃ベクトル: Record RouteまたはTimestampオプションを含むIPv4 TCPパケットを送信する、認証されていないリモート攻撃者。
• Red Hatの修正: RHSA-2026:93414、RHSA-2026:93412、およびRHSA-2026:93413を通じて提供。再起動が必要。
• Ubuntuの状況: -proposedチャネルで修正が可能。古いLTSバージョン（20.04、18.04、16.04）は、Ubuntu Proなしでは現時点で修正がありません。
• エクスプロイト状況: 野生でのエクスプロイトは報告されていませんが、Anthropicの内部AIモデルが概念実証テストで動作するrootエクスプロイトを生成しました。

なぜ重要なのか

ソフトウェアエンジニアやITリーダーにとって、この脆弱性はユーザーインタラクションや資格情報を必要としないため、高深刻度のリスクを表します。パッチ未適用のカーネルを実行している公開向けLinuxサーバーは、すべて完全なシステム侵害に対して潜在的に脆弱です。AIモデルが動作するエクスプロイトを生成できたという事実は、理論的な脆弱性が現実的な脅威になるまでの速度が加速していることを浮き彫りにします。Anthropicはコードを公開しませんでしたが、そのようなツールの存在は、意欲的な攻撃者が同様の能力を迅速に開発する可能性があることを示唆しています。

Red HatとUbuntuの間でのパッチ提供状況の格差も、運用上の課題を生み出しています。Red Hatユーザーはすぐに修正を適用できますが、Ubuntuユーザーは、より広範なテストが行われていないため不安定性のリスクが高い-proposedチャネルを有効にするかどうかを判断する必要があります。混合環境を管理するチームは、再起動を調整し、カーネルバージョンを慎重に検証しなければなりません。nftablesを用いた暫定的な緩和策は不完全であり、IPオプションに依存するネットワーク診断や特定のアプリケーション動作を妨げる可能性があり、公式パッチが広く展開されるまで、セキュリティと機能性の間のトレードオフを強いることになります。

あなたができること

• uname -rを使用して現在のカーネルバージョンを確認し、ベンダーの勧告に記載されている修正済みバージョンと比較してください。
• RHELシステムの場合、最新のerrata（RHSA-2026:93414、93412、または93413）を適用し、再起動をスケジュールしてください。
• Ubuntu LTSシステムの場合、即時の保護が必要な場合は、Canonicalの特定のコマンドに従って-proposedポケットの有効化を検討してください。
• 直ちにパッチを適用できない場合、暫定措置としてRed Hatのnftablesルールを実装しますが、接続の切断を監視してください。
• ファイアウォールルールが、信頼できないソースからの異常なIPオプションを持つIPv4 TCPパケットを誤って許可していないことを確認してください。
• この欠陥に対するカーネル更新は、再起動なしではライブで適用できないため、インフラ全体での必須再起動を計画してください。