11 月 7 日に、Linux カーネルの TCP ハンドシェイクの脆弱性 CVE-2026-98432 についてお伝えしました（その記事を参照）。その時点では Debian、Red Hat、AlmaLinux が修正を公開済みで、Ubuntu だけが「work in progress」（作業中）のままでした。11 月 10 日、Ubuntu はカーネルのセキュリティ通知をまとめて公開し、22.04、24.04、26.04 向けの修正済みパッケージが更新用アーカイブに入りました。Ubuntu はこの脆弱性を Critical（緊急）と評価しており、CVSS スコアは 9.8 です。サーバーが Ubuntu で動いているなら、今やるべきことはカーネルをアップグレードして再起動することです。

修正済みバージョン

  • 24.04（USN-9022-1）：generic カーネル 6.8.0-149.149、linux-aws 6.8.0-1069.74、linux-azure 6.8.0-1073.82、linux-gcp 6.8.0-1073.81、linux-oracle 6.8.0-1067.71。
  • 22.04（USN-9027-1）：generic カーネル 5.15.0-203.213、linux-aws 5.15.0-1120.127、linux-azure 5.15.0-1126.135、linux-gcp 5.15.0-1121.131、linux-kvm 5.15.0-1112.117。22.04 で 6.8 系のクラウド向けカーネルを使っている場合は USN-9024-1 を参照してください。たとえば linux-aws-6.8 は 6.8.0-1069.74~22.04.1 です。
  • 26.04（USN-9018-1）：generic カーネル 7.0.0-43.43、linux-aws 7.0.0-1017.18。26.10 では 7.3.0-10.10 で修正されています。
  • 未公開（11 月 11 日時点の Ubuntu のページでの状況）：22.04 の HWE カーネル linux-hwe-6.8（公開待ちのバージョンは 6.8.0-149.149~22.04.1）、24.04 の linux-hwe-7.0（7.0.0-43.43~24.04.1）、20.04 の 5.4 カーネル（5.4.0-247.267。20.04 は有償の ESM でのみ更新が提供されます）。これらのいずれかを使っている場合は、引き続き下記の一時的なルールでしのいでください。

アップグレードの手順

  • uname -r を実行して現在のカーネルを確認します。バージョンの後ろに付く -generic、-aws、-azure などの接尾辞で、どの種類（フレーバー）のカーネルを使っているかがわかるので、上の一覧から対応する修正済みバージョンを探してください。
  • sudo apt update && sudo apt full-upgrade を実行して新しいカーネルをインストールします。Ubuntu の通知は、カーネルの ABI が変わったため、自分でビルドしたサードパーティ製カーネルモジュールは再コンパイルが必要だと注意しています。標準のカーネルメタパッケージを使っているシステムでは、アップグレードの際に自動的に処理されます。
  • その後は必ず再起動してください：sudo reboot。自動更新（unattended-upgrades）はパッケージをインストールしますが、既定では再起動しないため、有効にしているからといって修正済みとは限りません。/var/run/reboot-required というファイルがまだ残っていれば、新しいカーネルは動いていません。再起動後にもう一度 uname -r を実行し、バージョンが一覧のものより低くないことを確認してください。

まだアップグレードできない場合：Ubuntu の一時的なルール

Ubuntu のこの脆弱性のページには、IP オプションを持つ受信 IPv4 TCP パケットを破棄する nftables のルールが掲載されています。中心となるのは ip protocol tcp ip hdrlength > 5 counter drop で、独立したテーブル inet cve_2026_98432 の input チェーン（priority -310）に置きます。Ubuntu によると、タイムスタンプやウィンドウスケーリングといった TCP オプションは影響を受けず、IPv6 も同様です。ネットワークが分離されたコンテナにはルールを個別に適用する必要があり、またこのルールはリスクを下げるものの、悪用を完全に防ぐものではありません。カーネルをアップグレードしてマシンを再起動したら、sudo nft delete table inet cve_2026_98432 でテーブルを削除し、/etc/nftables.conf から対応する include 行を削除してください。以前の記事で紹介した MPTCP の無効化も同じ種類の応急処置で、カーネルのアップグレード後に再び有効にするかどうかはご自身の判断しだいです。

この機会に念のためお伝えすると、20.04 の無償サポートはとうに終了しており、22.04 の標準サポートも 2027 年 4 月までです。アップグレードの進め方はこちらの記事にあります。ファイアウォールの基本設定はufw ファイアウォールと SSH 鍵ログインにあります。パッチ未適用の間にサーバーで見覚えのないプロセスやログインがあった場合は、侵入チェックと強化のガイドに沿って確認してください。