Linux kernel CVE teamは10月15日(現地時間)、IPv4のTCP処理における脆弱性「CVE-2026-98432」について注意喚起を発表しており、その後、各セキュリティベンダーなどが注意を呼びかけている。
「CVE-2026-98432」は、TCP接続要求を処理するLinuxカーネルのIPv4ネットワーク機能に存在するuse-after-freeの脆弱性。認証されていない遠隔の攻撃者が、外部へ公開されたTCPサービスに細工した通信を送ることで、カーネルクラッシュやメモリー破壊を引き起こす危険がある。
TCP接続要求を受け取ったLinuxカーネルは、要求ソケットが保持するIPv4オプションを新しい接続用ソケットへ引き継ぐ。この際、別のCPUが同じ接続要求の再送SYNを並行して処理すると、SYN/ACKパケットの生成中に参照しているオプションが解放される競合状態が発生する可能性がある。
修正版では、IPv4オプションを直ちに「kfree()」で解放するのではなく、RCUの猶予期間が終了して、ほかのCPUから参照されていないことを確認してから解放する「kfree_rcu()」へ変更された。
CVSS評価は、CVE.orgやUbuntuでは9.8、深刻度「Critical」と非常に高い。
同脆弱性のLinuxカーネルにおける各系列の最初の修正版は、Linux 7.2.10/6.18.56/6.12.113/6.6.159/6.1.190/5.15.223/5.10.272、およびLinux 7.3以降。10月30日に公開されたLinux 7.3.1、7.2.14、6.18.60などにおいては、この修正が適用済みとなっている。また、Linux 7.3では正式リリース前の7.3-rc7で修正されている。ユーザは情報に注意の上、必要に応じてアップデートを適用することが強く推奨される。
(川原 龍人/びぎねっと)
[関連リンク]
CVE-2026-98432(Linux kernel CVE team)
CVE-2026-98432(cve.org)
Ubuntuセキュリティ情報
Red Hatセキュリティ情報
この記事をシェアしてください
この記事の筆者
筆者の人気記事
「Apache HTTP Server 2.4.69」リリース ─ 20件の脆弱性を修正
10月3日 23:23
「Python 3.15.2/3.14.10/3.13.18/3.12.16/3.11.18」リリース ─ 侵害されたeMudhraのCA鍵をブロック
10月26日 16:52
「PHP 8.5.12」など4系列を緊急リリース ─ CriticalのRCE脆弱性2件を修正
10月22日 10:29
「Ubuntu 26.10」リリース ─ Rust製coreutilsへ全面移行
10月15日 23:25
「Python 3.14.8」リリース ─ 緊急のアップデートリリース
10月1日 23:32
「Raspberry Pi OS」2026年10月6日版リリース ─ デスクトップ環境を改善
10月8日 1:51
Think ITでは、技術情報が詰まったメールマガジン「Think IT Weekly」の配信サービスを提供しています。メルマガ会員登録を済ませれば、メルマガだけでなく、さまざまな限定特典を入手できるようになります。
