【緊急】Linuxカーネルに深刻な脆弱性「CVE-2026-98432」（CVSS 9.8）。さくらVPSで運用している方は今すぐ確認を

2026年10月15日、Linuxカーネルの開発チームが、TCP通信の接続処理に潜む脆弱性「CVE-2026-98432」を公表しました。

深刻度はCVE.orgのCVSS 3.1評価で10点満点中9.8（Critical）。認証なしでネットワーク越しに攻撃できる可能性がある脆弱性です。

さらに10月27日には、Anthropicが「この脆弱性を利用し、特定の構成のLinuxサーバーで認証なしにroot権限のコマンドを実行する攻撃コードを作成できた」と発表したことで、一気に注目が集まりました。

さくらのVPSは、OSもカーネルも基本的に利用者自身が管理するサーバーです。レンタルサーバーのように、事業者が代わりにカーネルを更新してくれるわけではありません。

自分のサーバーのカーネルが修正済みかどうかは、自分で確認する必要があります。

<text>※この記事は2026年10月30日時点の情報です。OSによって修正状況が異なります。UbuntuやRHELでは修正版が未公開または対応待ちとなっているものがある一方、DebianやAmazon Linux 2023の一部カーネルでは修正版が公開されています。最新情報は各ディストリビューションの公式ページで確認してください。</text>

何が起きているのか（概要）

今回問題が見つかったのは、LinuxカーネルがIPv4のTCP接続を確立する処理です。

2つの処理がほぼ同時に実行されたときに、すでに解放されたメモリをカーネルが読み込んでしまう「競合状態（レースコンディション）」に起因するUse-After-Free（解放済みメモリの再利用）という種類の不具合です。

ポイントは次の4つです。

  • ネットワーク越しに攻撃される可能性がある：CVE.orgのCVSS 3.1評価では、ネットワークから認証なし・ユーザー操作なしで攻撃できるとされ、9.8という最高クラスのスコアが付いています。
  • 影響範囲が広い：この不具合はLinuxカーネル4.4で導入された変更に起因します。修正が取り込まれていない対象バージョンのLinuxカーネルが影響を受けます。
  • CVSS評価にはベンダー間で違いがある：CVE.orgは9.8、Ubuntuも9.8と評価しています。一方、Red Hatは5.9、OracleとAmazon Linuxは8.1と評価しています。攻撃の複雑さや製品ごとの影響範囲に対する評価が異なるためです。
  • 現時点で実際の攻撃被害は確認されていない：10月30日時点で、今回の脆弱性による実際の攻撃被害が発生したという確かな公表情報は確認できていません。ただし、Anthropicが攻撃コードの作成に成功したと発表しているため、軽視できる問題ではありません。

なお、CVSSの評価は、脆弱性そのものに対する評価と、各ベンダーが自社製品に適用した場合の評価で異なることがあります。9.8だけを見て、すべてのLinux環境で同じ危険度・攻撃条件になると考えないようにしてください。

IPv6は影響を受けるのか

今回の主な脆弱性はIPv4のTCP接続処理に関するものです。

通常のIPv6接続では、カーネルがオプション情報を複製して扱うため、今回最初に確認された問題は発生しません。

ただし、Linuxカーネルチームは、ソケット移行処理に関連してIPv6側でも類似の問題があることに言及しています。この問題はCALIPSOオプションに関係するもので、別の修正として扱われています。

そのため、IPv6なら完全に安全と断定することはできません。

どんな仕組みなのか

仕組みを簡単に説明すると、次のようになります。

  1. クライアントがTCP接続を要求する（SYN）と、サーバーのカーネルは「保留中のリクエスト」を作り、IPオプション（通信経路の記録などの付加情報）を保存する。
  2. 最後のACKで接続が完成すると、カーネルは新しいソケットを作り、そのオプション情報をコピーせずに引き渡す。
  3. 引き渡した直後にそのソケットが破棄されると、別のCPUで再送されたリクエストに応答している処理が、すでに解放されたメモリを読み込んでしまう。

今回の修正では、他のCPUがオプション情報を読み終わるまで待ってからメモリを解放するように変更されました。

具体的には、通常のメモリ解放処理であるkfree()を、RCUによる読み取り処理の終了を待ってから解放するkfree_rcu()に変更しています。

Linuxカーネルチームによる修正は2026年10月15日に公表されました。

Anthropicが発表した内容

2026年10月27日、Anthropicは、社内で使用している未公開の研究用AIモデルClaudeを使い、Linuxカーネルの脆弱性を悪用する攻撃コードを作成したと発表しました。

今回の脆弱性を報告したのはAnthropicの研究者です。同社の検証では、MPTCP（マルチパスTCP）のリスナーを持つLinuxサーバーに対して、認証やユーザー操作なしにroot権限で任意のコマンドを実行できる攻撃コードを作成できたとしています。

Anthropicによると、攻撃は大きく2段階に分かれています。

  1. カーネルのメモリアドレスを取得する：競合状態を利用してカーネルに余分なデータを送り返させ、メモリ配置をランダム化する防御機能（KASLR）を回避する。
  2. root権限でコマンドを実行する：同じ脆弱性を利用してバッファを溢れさせ、関数ポインタを書き換えて、あらかじめ配置しておいたコードを実行させる。

競合に負けても接続の試行が1回失敗するだけでシステム全体は停止しないため、攻撃者は何度でも試行できるとのことです。

Anthropicの検証では、カーネルのアドレス取得に約48分、そこからコマンド実行までに約5分かかったと説明されています。

なお、この攻撃の実証はMPTCPのリスナーを持つサーバーを対象としたものです。攻撃コード自体や検証に使用したカーネルのバージョン、具体的な設定は公開されていません。

ここで注意したいのは、MPTCPを使用していなければ安全とは言い切れない点です。脆弱性そのものはIPv4のTCP接続処理に存在しており、MPTCPを使用していないサーバーでも修正が必要です。

対象のOSとバージョン

上流カーネルの修正バージョン

自分でLinuxカーネルをビルドしている場合は、次のバージョン以降に修正が取り込まれています。

カーネル系列修正済みバージョン
5.105.10.272
5.155.15.223
6.16.1.190
6.66.6.159
6.126.12.113
6.186.18.56
7.27.2.10
7.37.3-rc7

カーネルチームは、個別の修正だけを取り込むのではなく、最新の安定版カーネルへの更新を推奨しています。

なお、この表は上流カーネルの修正バージョンです。UbuntuやRHELなどのディストリビューションでは、独自のカーネルに修正を取り込むバックポートが行われるため、バージョン番号だけで判断することはできません。

ディストリビューション別の状況（2026年10月30日時点）

さくらのVPSでは、UbuntuやDebian、AlmaLinux、Rocky Linuxなどが利用できます。

2026年10月30日時点で確認できた主なOSの対応状況は次のとおりです。

OS状況修正済みパッケージ・情報
Ubuntu 22.04 / 24.04 / 26.04 / 26.10対応作業中修正版未公開
Ubuntu 16.04 / 18.04 / 20.04影響あり・修正版未確認公式情報を確認
RHEL 8 / 9 / 10影響あり・修正延期修正版未公開
RHEL 7影響なし対象外
Debian 13（trixie）修正済みlinux 6.12.113-1
Debian 12（bookworm）修正済みlinux 6.1.190-1
Amazon Linux 2023（kernel6.18）修正済みALAS2023-2026-3251
Amazon Linux 2023（kernel6.12）修正済みALAS2023-2026-3335
Amazon Linux 2023（標準カーネル）修正待ち公式情報を確認
Amazon Linux 2修正待ち公式情報を確認
Oracle Linux 7〜10（UEK）修正済みELSA-2026-500397 / 500398 / 500399

Ubuntuでは、通常のカーネルだけでなく、クラウド向け、FIPS、リアルタイムカーネルなども個別に対応状況を確認する必要があります。

Red Hatについては、RHEL 8・9・10が影響ありとされ、10月30日時点では修正が将来の更新に延期されています。Red HatのCVSS評価は5.9です。

AlmaLinux、Rocky Linux、CentOS Streamなどについては、それぞれのディストリビューションが提供する公式セキュリティ情報で個別に確認する必要があります。

RHELと互換性のあるOSであっても、カーネルの修正パッケージが公開される時期や提供方法は異なる場合があります。RHELの対応状況だけで判断せず、利用しているOSの公式アドバイザリや更新情報を確認してください。

FreeBSDなどLinux以外のOSは、Linuxカーネルを使用していないため今回の脆弱性の対象外です。

自分のサーバーが対象か確認する方法

SSHでサーバーにログインして、次の手順で確認します。

手順1：OSとカーネルのバージョンを確認する

まず、現在使用しているOSとカーネルのバージョンを確認します。

cat /etc/os-release
uname -r

uname -rで表示されるのは、現在動作しているカーネルのバージョンです。

ここで注意したいのは、UbuntuやRHEL系では修正が古いバージョンのカーネルに取り込まれる（バックポート）ことがあるため、バージョン番号だけでは修正済みかどうかを判断できないことです。

次の手順で、修正が取り込まれているか確認しましょう。

手順2：修正済みのカーネルが入っているか確認する

Ubuntu / Debianの場合

次のコマンドで、現在使用しているカーネルパッケージの変更履歴を確認できます。

apt changelog linux-image-$(uname -r) | grep -i CVE-2026-98432

CVE番号が表示されれば、そのパッケージの変更履歴に今回の修正が記載されています。

何も表示されない場合でも、必ずしも未修正とは限りません。ディストリビューションによっては、修正情報が別のパッケージやセキュリティアドバイザリに記載されている場合があります。

Debianの場合は、次のコマンドでインストール済みのカーネルパッケージも確認できます。

dpkg -l 'linux-image*' | grep '^ii'

Debian 12なら6.1.190-1、Debian 13なら6.12.113-1以降が修正済みパッケージの目安です。

実際には、利用しているディストリビューションの公式セキュリティ情報を優先してください。

AlmaLinux / Rocky Linux / RHEL系の場合

まず、現在使用しているカーネルに対応するRPMパッケージを確認します。

rpm -qf /boot/vmlinuz-$(uname -r)

続いて、表示されたパッケージの変更履歴を確認します。

rpm -q --changelog $(rpm -qf /boot/vmlinuz-$(uname -r)) | grep -i CVE-2026-98432

さらに、リポジトリで今回の脆弱性に関する更新情報が提供されているかを確認します。

dnf updateinfo list --cve CVE-2026-98432

1つ目は現在使用しているカーネルのRPMパッケージを特定するコマンド、2つ目はそのパッケージの変更履歴を確認するコマンドです。

3つ目は、リポジトリに今回の脆弱性に関する更新情報があるかを確認します。

ただし、変更履歴にCVE番号が表示されない場合や、dnf updateinfoで情報が表示されない場合でも、必ずしも未修正とは限りません。公式のセキュリティアドバイザリと照合してください。

手順3：MPTCPを使っているか確認する（任意）

Anthropicが実証した攻撃は、MPTCP（マルチパスTCP）のリスナーを持つサーバーを対象としていました。

MPTCPが有効かどうかは、次のコマンドで確認できます。

cat /proc/sys/net/mptcp/enabled
ss -M -l -n

最初のコマンドで1が表示されれば、MPTCPが有効になっています。

2つ目は、MPTCPで待ち受けているソケットの一覧を表示します。古いバージョンのiproute2では-Mオプションが使えない場合があります。

また、Go 1.24以降では、MPTCPがリスナーで標準有効になる仕様変更があります。Go製のWebサーバーやリバースプロキシなどを動かしている場合は、自分で設定していなくてもMPTCPが使われている可能性があります。

Go製プログラムでは、次の環境変数で標準のMPTCP利用を無効にできます。

GODEBUG=multipathtcp=0

ただし、これはMPTCPの利用を抑制する補助的な設定です。脆弱性そのものを修正するものではありません。

MPTCPを使っていない場合でも、カーネルの修正が不要になるわけではありません。

実際の対策方法

修正版が公開されているOS（Debian、Amazon Linux 2023の一部など）

修正版が公開されている場合は、カーネルを更新して再起動します。

Debianの場合は、次のコマンドを実行します。

sudo apt update
sudo apt full-upgrade
sudo reboot

再起動後に、もう一度カーネルのバージョンを確認します。

uname -r

カーネルの更新は、パッケージをインストールしただけでは反映されません。再起動して初めて、新しいカーネルで動き始めます。

修正版がまだ公開されていないOS（Ubuntu、RHEL系など）

修正版がまだ公開されていない場合、通常のパッケージ更新だけでは今回の脆弱性を修正できません。

Red Hatは、現時点で簡単に導入でき、幅広い環境に適用できる安定した緩和策はないと説明しています。

修正版が公開されるまで、次の点に注意してください。

  1. 修正版の公開を定期的に確認するUbuntuはUbuntu SecurityのCVEページ、RHELはRed HatのCVEページを確認してください。修正版が公開されたら、速やかに更新と再起動を行いましょう。
  2. インターネットに公開するポートを必要最小限にする使用していないサービスは停止し、不要なポートは閉じます。さくらのVPSのコントロールパネルにある「パケットフィルタ」や、ufw、firewalldなどを利用して、SSHなど接続元を限定できるポートはアクセス元を絞っておきましょう。ただし、Webサーバーのように一般公開しているTCPポートは閉じられないため、これは完全な対策ではありません。
  3. Go製プログラムのMPTCP利用を確認するGo 1.24以降のプログラムを利用している場合は、GODEBUG=multipathtcp=0によってMPTCPの標準利用を無効にする方法があります。ただし、これは補助的な対策であり、今回の脆弱性そのものを修正するものではありません。
  4. サーバーの異常に注意する原因不明の再起動やカーネルエラー、見覚えのないプロセスやログインがないか、定期的にログを確認してください。

「MPTCPを無効にすれば完全に安全」「特定のIPオプションを遮断すれば解決」といった、公式に効果が確認されていない方法を確実な対策として扱わないようにしてください。

更新作業でつまずきやすいポイント

更新しただけでは修正が反映されていない

よくある見落としです。

パッケージを更新しても、再起動していなければ、動いているのは古いカーネルのままです。

UbuntuやDebianでは、次のコマンドで再起動が必要か確認できます。

test -f /var/run/reboot-required && echo "再起動が必要です"

再起動後は必ずuname -rで現在のカーネルを確認しましょう。

自動更新を設定していても安心できない

unattended-upgrades（Ubuntu / Debian）やdnf-automatic（RHEL系）でカーネルが自動更新されても、再起動は自動では行われない設定のことが多いです。

自動更新を利用している場合でも、カーネルが更新され、実際に新しいカーネルで起動しているか確認してください。

uname -rの番号が新しいから大丈夫とは限らない

ディストリビューション独自のカーネルでは、上流カーネルより古い番号でも修正が取り込まれている場合があります。

逆に、上流カーネルの修正版より番号が新しく見えても、ディストリビューション側で修正が取り込まれているかは別途確認が必要です。

バージョン番号だけで判断せず、公式の変更履歴やセキュリティアドバイザリを確認してください。

Webサーバーしか動かしていなくても対象になる

今回の問題は、特定のアプリケーションではなく、OSの土台であるLinuxカーネルの問題です。

WordPressやApache、Nginx、SSHなど、外部から接続できるTCPサービスを運用している場合は、今回の脆弱性への対応が必要です。

さくらのVPSでWebサイトを運用している方も、他人事ではありません。

運用を制作会社・保守会社に任せている場合

サーバー管理を外部に委託している場合は、自分で操作せず、次の点を問い合わせて確認してもらいましょう。

  • CVE-2026-98432への対応状況はどうなっているか
  • 現在使用しているOSとカーネルのバージョンはいくつか
  • 修正版が公開されているか
  • 修正版がまだ公開されていない場合、今後どのように対応する予定か
  • カーネル更新後の再起動と動作確認は実施されているか

まとめ

CVE-2026-98432は、LinuxカーネルのIPv4 TCP接続処理にあるUse-After-Freeの脆弱性です。

カーネルチームはCVSS 9.8（Critical）と評価しており、AnthropicはMPTCPのリスナーを持つサーバーに対して、認証なしでroot権限のコマンド実行ができる攻撃コードを作成したと発表しました。

ベンダーによって深刻度の評価には違いがありますが、Linuxサーバーを運用している方は早急に対応状況を確認する必要があります。

さくらのVPSで運用している場合は、次の流れで対応してください。

  1. cat /etc/os-releaseとuname -rで、自分のOSとカーネルを確認する。
  2. ディストリビューションの公式情報で、今回の修正が取り込まれているか確認する。
  3. 修正版が公開されている場合は、カーネルを更新して再起動する。
  4. 修正版がまだ公開されていない場合は、公開情報を定期的に確認し、公開されたら速やかに更新する。
  5. 不要なサービスやポートを見直し、サーバーのセキュリティを強化する。

なお、CentOS 7などサポートが終了したOSを利用している場合は、今回の脆弱性への対応だけでなく、AlmaLinuxやRocky Linuxなど、サポート中のOSへの移行も検討しましょう。

カーネルの脆弱性は、WordPressやPHPを最新にしていても防げるものではありません。 サーバーのOSとカーネルも定期的に確認し、安全な状態を維持しましょう。

この記事は、各ディストリビューションの修正状況が更新され次第、随時追記していきます。

関連記事：【緊急】WordPressに深刻な脆弱性「wp2shell」。さくらVPSで運用している方は今すぐバージョン確認を

関連記事：PHPに緊急の脆弱性「PHP2Shell」、リモートコード実行の恐れ　速やかなアップデートを

参考リンク

はじめてのVPSにさくらVPS
レンタルサーバーより高い自由度が魅力

政府クラウドの提供事業者である「さくらインターネット」のさくらのVPSは24時間365日の有人監視のセキュリティ体制が整っており、月額535円から始められます！

レンタルサーバーより自由度の高いサーバーを始めるならぜひお試しください♪



＼2週間の無料お試しあり／

さくらVPSをチェック