Linuxカーネルにおける脆弱性（CVE-2026-98432）への対応について

Linuxカーネルにおける脆弱性「CVE-2026-98432」について、弊社の対応状況をお知らせいたします。弊社が運用を担当するサーバについて影響調査を実施し、対策が必要なシステムへのパッチ適用または回避策の実施をすべて完了しました。今後も関連情報を確認し、必要に応じて対応を行ってまいります。

参考情報

CVSS

CVSS 3.1：9.8（Critical、Red Hatによる評価）

概要

CVE-2026-98432はLinuxカーネルのIPv4通信におけるTCP接続処理に関する脆弱性です。複数の処理が同時に行われた際、解放済みのメモリを参照してしまう「Use-After-Free」と呼ばれる問題が発生します。攻撃者は細工した通信データを送信することで、ログインなどの認証を受けずに脆弱性を悪用できる可能性があります。

悪用された場合、サーバの停止やメモリの破損、条件によっては不正なプログラムの実行につながるおそれがあります。特に、複数の通信経路を利用するMPTCP環境では、外部からサーバの管理者権限（root）でコマンドを実行する攻撃が実証されています。

ただし、通常のTCP接続処理にも影響するため、MPTCPを使用していない環境でも注意が必要です。修正済みカーネルはLinuxディストリビューションごとに順次公開されています。

対応方法

• 利用中のLinuxカーネルが影響を受けるかどうか、OS提供元のセキュリティ情報をご確認ください。既存のバージョンに修正が組み込まれる場合もあるため、バージョン番号だけで判断しないようご注意ください。
• インターネットからIPv4のTCP接続を受け付けるサーバでは、修正済みカーネルの適用を優先してください。Webサーバに限らず、外部にTCPポートを公開しているシステム全般で注意が必要です。
• カーネルの更新後は再起動が必要です。再起動後はuname -rなどで修正版が稼働していることと、主要なサービスの正常動作をご確認ください。
• すぐに更新できない場合は、外部からのアクセス制限や通信のフィルタリングなど、暫定的な対策をご検討ください。ただし、これらの措置だけでは完全な対策とならないため、修正済みカーネルの適用を優先してください。
• MPTCPを無効にしていても影響を受ける可能性があります。設定だけで安全とは判断せず、カーネルログなどに不審な異常がないかもご確認ください。

参考サイト

• Red Hat | CVE-2026-98432
• Red Hat | RHSB-2026-016 セキュリティ情報
• CVE.org | CVE-2026-98432

  最新の情報は参考サイトをご確認ください。

更新履歴

2026/11/04 初版公開