Linuxの脆弱性に「9.8」という深刻度が付いたというニュースを見て、自分のパソコンやサーバーも危ないのか、何から確かめればよいのか気になっていませんか。
今回の問題は、Linuxカーネルの通信処理に関するCVE-2026-98432です。Ubuntuの公式情報はCVSS v3の深刻度を9.8と表示しています。まず利用中のOSとカーネルを確認し、配布元が示す修正状況に従うことが大切です。公開サーバーを管理している場合は、不要な公開サービスの見直しも並行しましょう。
Linux脆弱性9.8は何が問題？
9.8は脆弱性の深刻度を示す数値
「9.8」は、脆弱性の深刻度を評価する指標CVSSの基本値です。数字が高いことは深刻な問題を示しますが、それだけで個々の環境がすでに攻撃されたことや、すべてのLinux機器が同じ方法で侵害されることまでは意味しません。
UbuntuのCVE-2026-98432情報ではCVSS v3を9.8、Ubuntu独自の優先度をHighとしています。一方、Red Hatの脆弱性情報は攻撃の複雑さなどを踏まえて別の評価を示しています。評価の違いがあっても、利用する製品の案内を確認する必要があります。
通信処理の競合で何が起こる？
Linuxカーネルは、アプリと機器の間で通信やメモリなどを管理するOSの中核です。今回の問題は、IPv4のTCP接続処理で、複数の処理が同時に進んだ際に、解放済みのメモリを参照する場合があるというものです。こうした不具合は「Use-After-Free」と呼ばれます。
悪用された場合、メモリの破壊やシステムの停止などにつながるおそれがあります。ただし、通信を受ける設定や製品、更新の適用状況によって影響は異なります。問題があるかどうかは、ニュースの見出しだけでなく、それぞれの配布元の情報を使って判断してください。
root権限の実証には条件がある
Anthropicの研究報告は、MPTCPの待ち受け機能を備えたLinuxサーバーを対象に、認証なしで遠隔からroot権限のコマンドを実行する研究上の実証を紹介しています。rootは、システム全体を管理できる強い権限です。
これは特定の構成を前提とした実証です。MPTCPを使っていないと確かめただけで、当該カーネルの問題全体が解消するわけでもありません。実証結果と、実際に使っているサーバーの状態は分けて確認しましょう。
自分の環境はどう確認する？
まずOSと管理する人を確認
自分のパソコンでLinuxを使っている人は、Ubuntuなどの配布元と、使っているバージョンを確認します。端末を操作できる場合、uname -rで現在動作しているカーネルのバージョンを表示できます。管理画面のシステム情報も確認先になります。
会社のパソコンや、管理を委託しているサーバーなら、勝手に設定を変える前に管理者やサービス提供元へ確認しましょう。共有レンタルサーバーでは、利用者がOSのカーネルを更新できない場合があります。契約サービスの障害・メンテナンス情報と、提供元からの案内を確認するのが先です。
WindowsやmacOSを使っている場合も、普段使う画面の名前だけで、クラウド上のサーバーや別途動かしているLinux環境まで対象外とは判断できません。自分で管理しているLinuxがあるか、分からなければ管理担当者に確認してください。
修正は配布元とパッケージ別に確認
Ubuntuの公式ページは、リリースやカーネルパッケージごとに「Vulnerable」などの状態を掲載しています。10月30日更新時点では、複数の標準カーネルが修正作業中と表示されています。クラウド向けなど別のパッケージもあるため、自分が使う行を選んで確認してください。
Linuxカーネルの上流で修正が公開されても、各ディストリビューションが提供する更新の時期や番号は同じとは限りません。逆に、配布元が修正を独自に取り込む場合もあります。カーネル番号だけで安全と決めず、配布元のCVE情報と、実際にインストールして動作中のパッケージを照らし合わせましょう。
修正版が提供されていれば、配布元の案内と組織の手順に従って適用します。カーネル更新では再起動が必要になる場合があるので、サービスへの影響や保守時間も確認してください。更新したつもりでも、再起動後に稼働中のバージョンが切り替わっているか確かめることが大切です。
修正がまだない場合の確認順
公開サーバーの管理者は、インターネットから到達できるサービスを洗い出し、不要な公開を停止できないか確認します。必要なサービスは、業務に支障が出ない範囲で接続元を制限するなど、既存の運用ルールに沿って露出を減らす方法を検討しましょう。変更前には影響範囲の確認が必要です。
アクセス制限は更新が不要になることを保証するものではありません。配布元の修正状況を継続して確認し、修正版が出たら適用・再起動・稼働確認まで進めることが基本です。判断が難しい場合は、対象OS、カーネル、公開サービスを整理して管理者や提供元へ相談してください。
Linux脆弱性への対応まとめ
今回の9.8は深刻度の指標であり、自分の環境への影響は配布元、カーネル、公開状態によって確認が必要です。まず利用環境と管理者を確認し、次に配布元のCVE情報を見る。公開サーバーでは露出の見直しも行い、修正版の提供後は適用と稼働確認まで進めましょう。状況は変わるため、作業する時点の公式情報を確認してください。
