トップ ＞ 社会

Linuxカーネルに深刻度9.8の脆弱性、AIが遠隔root奪取を実証

内容

どんな脆弱性なのか

「CVE-2026-98432」は、LinuxカーネルがIPv4のTCP接続を確立する際の処理に潜んでいた不具合です。すでに解放したメモリーを後から読みにいってしまう「use-after-free（解放後使用）」と呼ばれる種類のものです。新しい接続用の子ソケットにIPオプションのデータを渡すとき、元の接続要求側にもそのデータへの参照が残ってしまいます。そこへ別のCPUが再送されたSYNパケットを同時に処理していると、子ソケットの破棄で解放されたメモリーを読み込むことがあります。ソケットを移行する処理にも、似た競合があると説明されています。

CVSS v3.1の基本値は10点満点中9.8（Critical）で、Ubuntu独自の優先度は「High」です。ネットワーク越しに悪用でき、攻撃に認証や利用者の操作は必要ありません。カーネル内部で起きる問題のため、システムの異常終了だけでなく、メモリー破壊を足がかりにした深刻な侵害につながるおそれが指摘されています。

AIはどのように攻撃を実証したのか

Anthropicのセキュリティ研究チームは10月27日、Claudeで脆弱性を発見・悪用する研究の結果を公表し、その中でこの脆弱性を取り上げました。標的にしたのは、複数の通信経路を束ねて使う「MPTCP（Multipath TCP）」で接続を待ち受けるLinuxサーバーです。最初の指示を受けたClaudeが攻撃用の処理を作り、カーネルのアドレス情報を48分で入手し、その後5分でroot権限によるコマンド実行に到達したとしています。

同じ研究では、Chrome、Safari、Android、Windowsでも複数の欠陥を組み合わせた攻撃コードを未公開の社内モデルで開発したと説明しています。同社は、人の手を借りずに同様の攻撃コードを作れる時代になったとして、防御側にも高性能なAIが必要だと主張しています。

どの程度危険なのか

実証はあくまで研究環境での結果で、一般的なLinuxサーバーすべてに同じ手口が通用すると示したものではありません。実際の攻撃で悪用された事例も確認されていません。影響を受けるカーネルの具体的なバージョン範囲や、個人のパソコンがどこまで対象になるかは、現時点で明らかになっていません。

修正の状況

Linuxカーネルの脆弱性情報を扱うCVEチームは10月15日にこの問題を公表しました。修正では、メモリーを即座に解放する処理を、読み取りが終わるのを待ってから解放する方式に改めています。修正が入った上流版は6.12.113、6.18.56、7.2.10、7.3-rc7で、ほかの保守ブランチにも順次移植されています。IPv6のソケット移行に関する類似の問題は、別のパッチで対応する予定です。

一方、Ubuntuでは10月28日時点でも標準カーネルが「Vulnerable」の扱いで、作業中の版番号が示されていても全利用者に配布済みという意味ではありません。22.04 LTSの「linux-hwe-6.8」は脆弱な状態、24.04 LTSのAWS向けやAzure向けのカーネルは修正作業中とされています。RHELでも修正版が出ていないと伝える報道があります。

今どうすればよいか

上流の版番号とディストリビューションのパッケージ番号は一致しないため、番号の大小だけで安全かどうかは判断できません。利用中のディストリビューションが出す情報をカーネルの種類ごとに確かめ、配布された更新を適用することが求められます。CVEチームも、個別の修正だけを取り出すのではなく安定版カーネルへの更新を勧めています。企業では、インターネットから到達できるTCPサービスを持つサーバーを優先して点検し、特にMPTCPで待ち受けている環境は公開範囲を見直す必要があります。

注目ポイント

サーバーで広く使われるLinuxの中核部分に、認証なしで遠隔から乗っ取れる可能性がある欠陥が見つかった点が関心を集めています。加えて、攻撃コードをAIが1時間足らずで仕上げたとされることから、脆弱性の公表から悪用までの時間が縮まるのではないかという点も焦点になっています。主要ディストリビューションの修正版がいつ配布されるかが、当面の注目点です。

参考記事

• Linuxカーネルに重大な脆弱性「CVE-2026-98432」、CVSS 9.8 Claudeが遠隔root権限実行を実証合同会社ロケットボーイズ　2026年10月31日 07:20
• Linuxに深刻度9.8の脆弱性、認証なしでroot権限奪取 AnthropicのAIが攻撃を実証(アスキー)Yahoo!ニュース　2026年10月31日 07:20
• Anthropicの未公開AI、複数の脆弱性を組み合わせた攻撃コードを開発マイナビニュース　2026年10月31日 07:20

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。