Linuxカーネルに遠隔で狙える脆弱性、CVSS 9.8で更新を

Linux の通信処理に、ログインなしで遠隔からコードを実行されるおそれがある脆弱性 CVE-2026-98432 が見つかりました。Sophos は11月6日の時点で、悪用の公開報告を把握していないとしています。Red Hat などの修正版へ更新してください。

脆弱性の概要

緊急CVSS9.8

やること

Linux サーバーのカーネル（OS の中心部分）を修正版へ更新してください。Red Hat は、完全な対策はカーネルの更新だけだとしています。

すぐに更新できない場合、Red Hat は IP オプション付きの通信を nftables で落とす方法を示しています。この方法は危険を減らすだけで、攻撃を完全には防げません。

CVE-2026-98432 は IPv4 の TCP 接続を処理する部分の欠陥で、処理が重なると解放済みのメモリを使ってしまいます。タイミングを合わせた通信を送られると、システムの停止やコードの実行につながるおそれがあります。ログインも利用者の操作も要りません。CVSS は 9.8 です。

遠隔でのコード実行が実証されたのは、MPTCP という機能で待ち受けるサーバーです。Go の開発チームは、欠陥そのものは MPTCP に限らないと説明しています。

Sophos は11月6日の更新で、悪用の公開報告は把握していないとしています。動く攻撃コードの公開についても、Akamai が11月2日の時点で確認していないとしています。

Linux 4.4 以降が対象です。IPv4 の TCP で待ち受けるサービスが狙われます。

ネットワーク機器にも影響が及びます。Sophos Firewall は修正の配布を始めました。WatchGuard は、Firebox は MPTCP が無効で、実証された手順には当たらないとしています。

自社で確かめること

カーネルのバージョンを確かめるLinux サーバーで uname -r を実行し、配布元の修正版と見比べてください。更新したあとは再起動で反映してください。

機器の案内を見るファイアウォールなどの機器にも Linux が入っています。開発元の案内を確かめてください。Sophos は修正を配布し、Fortinet は多くの製品を調査中です。

Go のプログラムを確かめるGo 1.24 以降で作ったサーバーのプログラムは MPTCP が既定で有効です。Go の開発チームはカーネルの更新を勧めています。

自社で確かめるのが難しい場合はCyberScope のセキュリティ診断（3万円から）