Ubuntuの11月のカーネル更新、TCPの緊急の欠陥は未修正

やること

Ubuntu のサーバーではカーネル（OS の中心部分）の更新を2回に分けて考えてください。

• 11月3日の更新は今のうちに入れて再起動してください。26.04 LTS と 24.04 LTS の HWE カーネルは USN-8959-1、22.04 LTS と 20.04 LTS は USN-8961-1 です
• 10月30日に伝えた TCP の脆弱性の修正はこの更新に含まれていないので、公開されたらもう一度更新して再起動してください

何が危ないのか

Ubuntu の CVE のページは11月5日の更新で、26.04 LTS、24.04 LTS、22.04 LTS を「修正の作業中」としています。載っている番号は作業中のバージョンで、公開されたものではありません。USN（Ubuntu のセキュリティ通知）も紐づいていません。

11月3日の更新のバージョンは、26.04 LTS が 7.0.0-42.42、22.04 LTS が 5.15.0-202.212 です。作業中のバージョンは 7.0.0-43.43、5.15.0-203.213 で、どちらも先の番号です。11月3日の更新を入れても TCP の脆弱性は残ります。

この脆弱性の CVSS は 9.8 です。ページの緩和策の欄は利用者の投稿で、Canonical の案内ではありません。緩和策は10月30日の記事にある Red Hat の案内を参考にしてください。

11月3日の更新の内容

USN-8959-1 は CVE が約2,900件の大きな更新で、一般ユーザーから root を取られるおそれがある CVE-2026-74580（CVSS 8.8）も含みます。

ABI（カーネルと部品の間の決まり）が変わるので、あとから入れたカーネルモジュールは作り直しが必要です。

対象

Ubuntu のカーネルのバージョン番号は公式の Linux のバージョンとは別の付け方なので、公式の 7.2.10 などと uname -r の表示を比べても判断できません。Ubuntu の通知と CVE のページで確かめてください。