Linux カーネルの TCP に欠陥（CVE-2026-98432）— ネットにつながったほぼすべての Linux サーバーが対象。更新と再起動を

この記事は 11月3日時点の情報です。Ubuntu の修正版が出たら追記します。

11月4日追記：SUSE が SLES 15 SP7 の修正版を公開しました。Ubuntu は11月4日時点でもまだ「準備中」で、修正版は出ていません。米 CISA の「悪用中」リストにも、まだ入っていません。

何が原因か

インターネットでパソコンとサーバーがつながるときは、まず「あいさつ」を3回やりとりしてから通信を始めます（TCP の3ウェイハンドシェイク）。

この「あいさつ」には、めったに使われない**おまけの情報（IP オプション）を付けられます。Linux は、あいさつが済んだとき、このおまけの情報を新しい接続に「コピーせずにそのまま渡して」**いました。

ところが、相手が最初のあいさつをもう一度送り直してくると、サーバーの別の処理がその情報を読みに行くことがあります。そのとき、元の持ち主はもう情報を片付けてしまっている——つまり、捨てたはずの場所を読み書きしてしまうのです。これを「解放後使用（use-after-free）」と呼びます。

項目	内容
場所	Linux カーネルの TCP（IPv4）の接続を始める処理
種類	解放後使用（use-after-free）。2つの処理が同時に動いたときの「すれ違い」で起きる
攻撃の条件	ログイン不要。IPv4 で TCP を待ち受けているポートに、おまけの情報を付けた接続を送り、送り直す
入り込んだ時期	Linux 4.4（2016年ごろ）から
IPv6	今回の主な入口は対象外

何が起きたか

• 10月5〜6日：Linux の開発者が修正を入れる。報告したのは、AI 企業 Anthropic の研究者
• 10月15日：CVE 番号が付き、公表
• 10月24〜30日：Amazon Linux、SUSE、Debian などが順に修正版を公開
• 10月27日ごろ：Anthropic が「サーバーを外から乗っ取る攻撃に成功した」と発表。攻撃の道具は公開していません
• 10月30日：Red Hat が特別の注意喚起（RHSB-2026-016）を出し、深刻度を最高の「Critical」に
• 11月1日：Red Hat Enterprise Linux 8 / 9 / 10 の修正版を公開
• 11月3日時点：Ubuntu は「準備中」。米 CISA の「悪用中」のリストには入っていません

どんな問題があるか

• サーバーを丸ごと乗っ取られるおそれ：カーネルは OS の一番奥です。ここを破られると、最高の権限（root）で何でもできてしまいます。Red Hat は「確実に乗っ取るには高度な技術が要る」としていますが、研究者は実際に成功させています
• サーバーを止められるおそれ：乗っ取りまでいかなくても、カーネルを落として再起動させることはより簡単です
• ネットにつながる機器も対象：VPN 装置、NAS、ルーターなど、中身が Linux の機器も、メーカーの更新を待つ必要があります
• 再起動が必要：カーネルの修正は、入れただけでは効かず、再起動して初めて効きます。止められないサーバーほど後回しになりがちです

評価が分かれている点

深刻度は、Linux の開発チームが付けた CVSS 9.8 が広く使われています。一方で、SUSE や Amazon は「攻撃が難しい」として 8.1 にしています。ただ、どの会社も「重要以上」の扱いで、急ぐべきことに変わりはありません。

Go で作ったサーバーは要注意

Anthropic の攻撃は、MPTCP（複数の回線をまとめて使う TCP の仕組み）を使ったサーバーで成功しています。プログラミング言語 Go の1.24以降は、この MPTCP を初期設定でオンにしています。Go の開発チームは「MPTCP だけの問題ではない」としつつも、注意を呼びかけています。

臨時の対処（すぐ更新・再起動できないとき）

Red Hat・Ubuntu などは、次の守りをすすめています。どれも完全な修正ではありません。

1. おまけの情報（IP オプション）付きの TCP をファイアウォールで捨てる
   ふつうの通信では、ほぼ使われない情報です。サーバーのファイアウォール（nftables など）で、IP オプションの付いた IPv4 の TCP を落とす設定を入れます。
2. コンテナや Kubernetes は、それぞれの中でも遮断する
   サーバー本体のファイアウォールでは、同じサーバーの中のコンテナどうしの通信は止められません。コンテナごとにも設定が必要です。
3. MPTCP を止める
   使っていなければ、カーネルの設定（net.mptcp.enabled=0）で止めます。乗っ取りに使われた道を一つふさげます。
4. 使っていない待ち受けを閉じる
   外に開いているポートが少ないほど、狙われる入口も減ります。

正しい対処

1. 修正版のカーネルを入れて、再起動する

ディストリビューション	状況（11月4日時点）
Red Hat Enterprise Linux 8 / 9 / 10	修正済み（11月1日）
AlmaLinux 8 / 9 / 10	修正済み（11月2日）
Debian 12 / 13	修正済み
Amazon Linux 2 / 2023	修正済み（10月24〜30日）
SUSE（SLES 15 SP4〜SP7・16.0）	修正済み（SP7 は11月4日）
Ubuntu 22.04 / 24.04 ほか	準備中。16.04〜20.04 は今のところ修正の予定が出ていません
Red Hat Enterprise Linux 7	対象外

2. ネットワーク機器・NAS は、メーカーの更新を確かめる
   中身が Linux の機器は、メーカーが修正版を出すまで待つしかありません。出たらすぐ当てられるよう、型番とファームウェアの版を控えておきます。
3. Ubuntu のサーバーは、修正が出るまでファイアウォールの遮断を続ける
   修正版が出たら、すぐ入れて再起動できるよう、再起動の時間を先に決めておきましょう。
4. サポートの終わった古い OS は移行を
   修正版が出ない版は、ずっと穴が開いたままになります。

修正済みかどうかの確かめ方

修正版の**カーネルを「入れた」ことと、「今それで動いている」**ことは別です。サーバーの担当者に、次の2つを見比べてもらいましょう。

• 今動いているカーネルの版：uname -r というコマンドで表示されます
• 修正版の版：たとえば Red Hat Enterprise Linux 9 なら 5.14.0-687.64.1.el9_8 以降、8 なら 4.18.0-553.182.1.el8_10 以降

uname -r の結果が修正版より古ければ、修正版を入れたのに再起動していないか、まだ入れていないかのどちらかです。クラウドの管理画面で「更新済み」と出ていても、再起動するまでは古いカーネルのままなので注意してください。

まとめ

• 原因は、TCP の「あいさつ」のときに、片付けたはずの情報を読みに行ってしまうすれ違い
• ログインなしで外から狙える。10年近く潜んでいて、ネットにつながる Linux のほぼすべてが対象
• つなぎは IP オプション付きの TCP の遮断・MPTCP の停止、正しい対処は修正版カーネルの適用と再起動
• Ubuntu はまだ準備中。VPN 装置や NAS など、中身が Linux の機器も忘れずに

無料メルマガ・月2〜4回 セキュリティ速報と
最新情報をメールで 登録する