LinuxカーネルのCVE-2026-98432とは？重大な脆弱性とサーバーの管理者がやること

確認日：2026年10月31日対象：CVE-2026-98432（Linux 4.4以降のカーネル）

2026年10月、Linuxのカーネルに重大な脆弱性が見つかったと公表されました。AnthropicのAIがこの不具合を使った攻撃を作れたと発表したこともあり、ニュースでも大きな話題です。

本記事では、この脆弱性の概要と、公表から修正までの流れを解説します。もとにしたのは、CVEの公式の記録と各ディストリビューションの発表です。サーバーの管理者が何をすればよいかも、あわせて整理しました。攻撃の詳しい手順は扱いません。

【メモ】

同じ2026年10月には、PHPとNode.jsでも重大な脆弱性が直されました。中身と対応は、PHP2Shellとは？とNode.jsのBrotli脆弱性とは？で解説しています。

CVE-2026-98432とは

CVE-2026-98432は、Linuxのカーネルが、TCPの接続を受け付ける処理の中でIPv4のオプションを扱う部分の不具合です。外から細工した通信を受け取ると、カーネルのメモリの中身が相手に漏れたり、メモリが壊されたりするおそれがあります。要点を表にまとめました。

項目	内容
公表日	2026年10月15日（UTC）
影響を受けるカーネル	Linux 4.4以降
深刻度	カーネルの採番機関の評価は、CVSS v3.1で10点満点中9.8
攻撃の条件	ネットワーク越しに届き、ログインも利用者の操作もいらない
修正済みの版	5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、7.3
悪用の報告	確認日の時点で、実際に悪用されたという公式の報告は見当たらない

PHP2Shellのような呼び名は、確認日の時点で、この脆弱性には付いていません。カーネルの開発者や配布元の発表も、CVE番号だけで呼んでいます。本記事でも、呼び名はCVE-2026-98432のままにしました。

【メモ】

不具合の影響が重いのは、Linuxの中心にあたるカーネルで起きるためです。カーネルの不具合を使われると、サーバーの上のどのソフトよりも強い権限で、攻撃者の用意したプログラムが動くおそれがあります。

AIが攻撃を作れたという発表

この不具合を見つけて、Linuxのカーネルの開発者に報告したのは、Claudeを開発するAnthropicです。カーネルの修正の記録にも、Anthropicの研究者が報告者として載っています。

2026年10月27日、Anthropicは、公開していない研究用のAIでこの不具合を見つけ、遠隔コード実行まで試せたと発表しました。遠隔コード実行とは、インターネットの向こうにいる攻撃者が、他人のサーバーの上で自分の用意したプログラムを動かせてしまうことです。

【メモ】

遠隔コード実行がなぜ特に重く扱われるのかは、遠隔コード実行（RCE）とは？で解説しています。

発表で攻撃の対象になっていたのは、Multipath TCP（MPTCP）で接続を待ち受けているサーバーです。MPTCPを使っていないサーバーで同じことができるかは、発表には書かれていません。攻撃のコードも、公開しない方針です。

ただし、不具合はTCPの処理そのものにあり、配布元もMPTCPに限らず修正版を出しています。また、カーネルの修正は、Anthropicの発表より前の2026年10月5日に取り込まれていました。AIが攻撃を作れたという話題と、不具合そのものの重さは、分けて考えるとよいでしょう。

【メモ】

Go 1.24以降で作ったサーバーは、Linuxでは初期設定でMPTCPを使う作りです。自分では設定した覚えがなくても、MPTCPで待ち受けている場合があります。

公表から修正までの流れ

Linuxのカーネルの修正は、開発者が直したあと、各ディストリビューションの配布元が自分のカーネルへ取り込んで配る流れです。そのため、修正版が届く日は配布元ごとに違います。

修正から公表までの出来事

公式の記録と配布元の発表から、主な出来事を日付の順に並べました。

日付	出来事
2026年9月25日	CVE番号が予約される
2026年10月1日	カーネルの開発者が、Anthropicから報告を受けた不具合の修正を提案する
2026年10月5日	修正が、カーネルのネットワークの開発の流れに取り込まれる
2026年10月15日	CVE-2026-98432が公表される（UTC）
2026年10月16日	Oracle Linuxが、修正したカーネルを公開する
2026年10月24日〜30日	Amazon Linuxが、修正したカーネルを順に公開する
2026年10月27日	Anthropicが、AIで不具合を見つけ、攻撃まで作れたと発表する
2026年10月30日	Red Hatが、告知RHSB-2026-016で一時的な対策を示す

配布元ごとの修正の状況

修正版が出る日だけでなく、深刻度の評価も、配布元ごとに違います。2026年10月31日に各配布元のページを読んだ時点の状況を表にまとめました。

配布元	評価	状況
Debian	記載なし	bookworm（6.1.190-1）、trixie（6.12.113-1）で修正済み
Ubuntu	優先度High、CVSS 9.8	22.04、24.04、26.04、26.10は修正版を準備中
Red Hat	Critical、CVSS 9.8	RHEL 8、9、10は修正版を準備中。一時的な対策を公開
Amazon Linux	Important、CVSS 8.1	Amazon Linux 2、Amazon Linux 2023で修正版を公開済み
Oracle Linux	Important、CVSS 8.1	UEKのカーネルで修正版を公開済み
SUSE	important、CVSS 8.1	SLES 16.0などで修正版を公開済み。15 SP7は準備中

評価が8.1の配布元は、攻撃を成功させる難しさを「高」と見ています。また、Ubuntuの20.04より前の版は、表に挙げた版と違い「Vulnerable」と表示されていました。

配布元の状況は、数日のうちに変わります。ニュースや解説記事の数字は、書かれた日の値です。最新の状況は、末尾に挙げた配布元のページで確かめてください。

修正版の公開前後で、危険はどう変わったか

修正版が公開されると、修正前と修正後のプログラムを見比べられるようになります。どこを直したかが分かれば、不具合の場所も分かるため、攻撃を試みる人が増えるおそれがあるのです。最も危ないのは、修正版が公開されてから、自分のサーバーに修正版を入れるまでの間になります。

Linuxのカーネルは、開発の記録をすべて誰でも読める形で公開するソフトです。今回も、修正はCVEの公表より前に取り込まれていました。配布元の修正版を待つ間も、カーネルの修正そのものは見えていたことになります。

一方、修正版を入れて再起動したサーバーは、この不具合を使った攻撃を受けても影響を受けません。修正版が出たらすぐに入れられるよう、日ごろからサポート中の版を使い、更新の手順を決めておくことが備えになります。

サーバーの管理者がやること

やることは、自分のサーバーが対象かを確かめ、修正版を入れて再起動することです。修正版がまだ出ていなければ、配布元が示す一時的な対策を検討します。

Linuxが動いている場所ごとの対応

誰がサーバーのOSを更新しているかで、やることが変わります。

使い方	やること
レンタルサーバー、Webサービス	事業者がOSを更新するため、自分で何かをする必要はない。気になる場合は事業者のお知らせを見る
VPS、クラウドのサーバー	OSの更新は自分の役割。この後の手順で確かめる
コンテナで動かすアプリ	コンテナはホストのカーネルを使う。ホストのサーバーを管理している人が更新する

配布元と版を確かめる

まず、サーバーで動いているディストリビューションと、その版を確かめます。

cat /etc/os-release

続けて、動いているカーネルの版を確かめます。

uname -r

末尾の「参考にした一次情報」から、使っている配布元のCVE-2026-98432のページを開きます。自分の版に修正版が出ているか、出ていればどのパッケージの版で直ったのかを確かめてください。

修正版を入れて再起動する

修正版が出ていれば、配布元の手順に従ってカーネルを更新しましょう。DebianやUbuntuでは次のコマンドで、パッケージをまとめて更新できます。

sudo apt update && sudo apt upgrade

Red Hat Enterprise LinuxやAmazon Linux 2023では、次のコマンドを使います。

sudo dnf upgrade

カーネルの修正は、更新したあとに再起動しないと反映されません。再起動したら、もう一度 uname -r で版を確かめ、配布元のページにある修正済みの版になっているかを見てください。

修正版がまだ出ていない場合

修正版が出るまでの間、配布元が一時的な対策を示している場合があります。Red Hatは告知RHSB-2026-016で、IPv4のオプションを含む外からのTCPのパケットを、nftablesで捨てる方法を示しました。

通常のTCPの通信ではIPv4のオプションを使わないため、ふつうの通信には影響しない見込みです。ただしRed Hatは、この方法で防ぎきれない場合があり、修正版の代わりにはならないとも書いています。使う場合は、配布元の告知の手順と注意を読んでからにしてください。修正版が出たら、すぐに入れて再起動しましょう。