Linux カーネルの、受信した IPv4 TCP 接続を確立するコードに解放後使用（UAF）の脆弱性 CVE-2026-98432 があり、10 月 15 日にカーネルの CVE チームが公開しました。CVSS 3.1 は 9.8（緊急）で、ネットワーク経由で到達でき、権限もユーザーの操作も不要です。10 月 27 日には、報告者が所属する Anthropic が攻撃手法を公表しました。マルチパス TCP（MPTCP）で待ち受けている Linux サーバーにパケットを送ることで、root として任意のコマンドを実行できるというものです。同社の概念実証では、カーネルのポインターをリモートで漏えいさせるのに 48 分、さらに 5 分でコマンド実行に至りました。競合に負けてもそのハンドシェイクが失敗するだけでシステムはクラッシュしないため、攻撃者は何度でも再試行できます。

影響を受けるのは

  • 脆弱性は通常の IPv4 TCP のコードにあります。IPv4 オプション付きの SYN を待ち受け中の IPv4 TCP ポートに送れば到達でき、Linux 4.4 までさかのぼります。IPv6 の接続は主な問題の影響を受けません。AlmaLinux は、信頼できないネットワークからの IPv4 TCP 接続を受け付けるシステムはすべて露出しているとみなすべきだとしています。
  • 公開された攻撃には MPTCP の待ち受けが必要です。Go のセキュリティチームは 10 月 29 日、Go 1.24 以降、Go のプログラムは Linux で待ち受けソケットの MPTCP を既定で有効にすると注意を促しました。パネル、プロキシ、監視ツールには Go で書かれたものが少なくありません。Go チームは同時に、根本のバグは MPTCP に固有のものではなく、MPTCP の待ち受けがないシステムでも同様の攻撃を受けうると強調しています。
  • 修正状況：Debian 13 は 6.12.113-1（DSA-6568-1）、Debian 12 は 6.1.190-1（DLA-4841-1）以降で修正済み。Red Hat は 11 月 1 日に RHEL 8・9・10 のカーネル修正を出し、AlmaLinux は 11 月 2 日から正式リポジトリで修正済みカーネルを提供しています。Ubuntu は 11 月 5 日時点で、22.04、24.04、26.04 の汎用カーネルと linux-aws などのクラウド向けカーネルを依然として「Vulnerable, work in progress」としており、修正はそれぞれ 5.15.0-203.213、6.8.0-149.149、7.0.0-43.43 に入る予定です。

修正が出るまでにできること

  • まず MPTCP を確認します。sysctl net.mptcp.enabled で有効かどうかを、sudo ss -lnMp で MPTCP の待ち受けとそのプロセスを確認できます。MPTCP が不要なら無効にします：echo 'net.mptcp.enabled = 0' | sudo tee /etc/sysctl.d/90-disable-mptcp.conf のあと sudo sysctl -w net.mptcp.enabled=0。AlmaLinux の説明どおり、これは新しい MPTCP ソケットの作成を止めるだけなので、既存の待ち受けを持つサービスは再起動してください。Go のプログラムは GODEBUG=multipathtcp=0 を付けて起動することもできますが、Go チーム自身がプログラムごとの無効化はもろい緩和策だと述べています。1Panel は 10 月 30 日公開の v2.4.2 で MPTCP を既定で無効にしました。
  • IPv4 オプション付きの TCP パケットを破棄する：通常の通信で IPv4 オプションが使われることはほとんどなく、AlmaLinux が公開した nftables ルールの中核は meta l4proto tcp ip hdrlength > 5 counter drop（prerouting フック上）です。再起動すると消えること、同じホスト上のコンテナ間の通信はこれを迂回しうること、CIPSO のセキュリティラベルに依存するネットワークでは使わないことに注意してください。
  • いずれも修正ではありません。ディストリビューションのカーネルパッケージが出たらすぐに入れて再起動し、uname -r で確認してください。

2 つのカーネル脆弱性を混同しないように

今回はもう 1 つカーネルの脆弱性を取り上げています。CISA が悪用を確認し、PHP の脆弱性と連鎖させて root を奪うのに使われている Fragnesia（CVE-2026-46300）で、こちらはローカル権限昇格であり、修正済みカーネルは 5 月から出ています。こちらの記事をご覧ください。一方 CVE-2026-98432 はネットワークから直接攻撃でき、Ubuntu の利用者は当面緩和策でしのぐしかありません。ファイアウォールの基本設定はufw ファイアウォールと SSH 鍵ログインを、9 月のカーネル脆弱性はこちらを、侵入が疑われる場合は侵入された VPS の調査と再強化を参照してください。