要点まとめ
CVE-2026-98432は、LinuxカーネルのIPv4 TCP接続処理に存在するuse-after-freeのバグで、CVSS 9.8（Critical）と評価されています[1]。Linux 4.4から存在し、7.3およびいくつかの安定版リリースで修正されています[2]。リモートの攻撃者はログインを必要としません[1]。修正済みカーネルをインストールして再起動することが、唯一の完全な対策です[6]。
重要なポイント
- CVE-2026-98432は2026年10月15日にLinuxカーネルのCVEチームによって公開され、CVSS 3.1のスコアは9.8（Critical）、攻撃元区分はネットワークです[1]。
- このバグはLinux 4.4で混入し、5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、7.3で修正されています[2]。
- Anthropicは、同社の概念実証によりMultipath TCP（MPTCP）のリスナーを持つLinuxサーバーでリモートの攻撃者がroot権限でコマンドを実行できたとしていますが[4]、Red HatはMPTCPがこの脆弱性の必須条件ではないとしています[6]。
- 2026年11月3日時点で、Red Hat、Debian、AlmaLinuxはサポート対象リリース向けに修正済みカーネルを提供しており[7][9][10]、Ubuntuは修正を作業中としています[8]。
- IPオプションを含むIPv4 TCPパケットを破棄するファイアウォールルールは露出を減らしますが、Red HatとUbuntuによると、悪用を完全には防げません[6][8]。
- 2026年11月3日時点で、このCVEはCISAの既知の悪用された脆弱性（KEV）カタログに掲載されておらず[14]、Akamaiは公開された実用的なエクスプロイトを把握していないとしています[11]。
このページの内容 12 章
CVE-2026-98432とは何ですか？
CVE-2026-98432は、Linuxオペレーティングシステムの中核であるLinuxカーネルの脆弱性です。正式なタイトルはipv4: free inet_opt and ireq_opt after an RCU grace periodです[1]。LinuxカーネルのCVEチームがこの番号を割り当て、2026年10月15日にレコードを公開しました[1]。レコードではCVSS 3.1の基本スコアが9.8とされ、深刻度はCriticalです[1]。
この欠陥はuse-after-freeです。これは、プログラムがメモリ領域を解放した後もその領域を使い続けるため、そこにすでに別のデータが入っている可能性があるという問題です。今回は、受信したIPv4 TCP接続要求を処理するコードに存在します[10]。CVSSベクトルはAV:N/AC:L/PR:N/UI:Nです。つまり、攻撃はネットワーク経由で成立し、攻撃の複雑さは低く、権限もユーザーの操作も必要ありません[1]。
このバグはLinux 4.4から存在しており、コミット079096f103faで混入しました[2]。Eric Dumazet氏が作成した修正は2026年10月5日にコミットされ、現在はメインラインのカーネルに含まれています[3]。この修正は、保守されている安定版ブランチにバックポートされています[2][4]。
どのシステムが影響を受けますか？
Red Hatによると、この欠陥はIPv4 TCPネットワークが有効になっている脆弱なカーネルを実行するすべてのシステムに影響します。外部からのTCP接続を受け付けるシステムが、最も直接的に攻撃にさらされます[6]。AlmaLinuxは、信頼できないネットワークからのIPv4 TCP接続を受け付けるシステムはすべて攻撃にさらされているものとして扱うよう勧めています[10]。IPv6は主要な問題の影響を受けません[2]。
この脆弱性はどのように機能するのですか？
TCP接続はハンドシェイクから始まります。クライアントがSYNパケットを送り、サーバーがSYN-ACKで応答し、クライアントが確認します。SYNにはIPv4オプションを含めることができます。これはIPヘッダー内の任意の追加フィールドで、Record RouteやTimestampがその例です[1]。
カーネルの説明によると、関数tcp_v4_syn_recv_sock()は、保存されたオプションをコピーせずに新しい子ソケットへ渡します[2]。その間に、別のCPUコアが同じ要求に対する再送SYNを処理し、そのオプションを読み取るSYN-ACKを組み立てることがあります[2]。SYN-ACKの組み立て中に子ソケットが解放されることを防ぐ仕組みはありません。オプションは単純なkfree()で解放されるため、カーネルはip_options_build()の中で解放済みのメモリを読み取ってしまいます[2]。
要求ソケットの移行が有効になっている場合にも、よく似た2つ目の競合状態が存在します。移行はnet.ipv4.tcp_migrate_req=1またはBPFのreuseportプログラムによって有効になります[2]。修正では、inet_sock_destruct()とtcp_v4_reqsk_destructor()でkfree_rcu()を使うことで、両方の解放処理がRCUの猶予期間を待つようにしています[2]。RCU（read-copy-update）は、メモリを使用中の読み手がいなくなるまで解放を遅らせるカーネルの手法です。
攻撃者はこれを使って何ができるのですか？
CVEレコードのスコアリングに関する注記では、3つの影響が挙げられています[1]。
- 情報漏えい：解放されたメモリは別のデータに再利用されることがあり、その内容が攻撃者に返されるSYN-ACKにコピーされる可能性があります[1]。
- メモリ破壊：古い長さやオフセットの値によって、カーネルの書き込みが範囲外に誘導され、制御フローが破壊されるおそれがあります[1]。
- クラッシュ：再利用された長さの値がカーネルパニックを引き起こすことがあり、不正な書き込みによってもカーネルがクラッシュする可能性があります[1]。
Red Hatは、タイミングに左右されるこのバグを通じて確実にコードを実行するには、ヒープを精密に制御する必要があると補足しています。それでも、ネットワーク上の前提条件がなく、深刻な不安定化を引き起こしうるため、Criticalと評価しています[7]。
Anthropicは何を公表し、MPTCPはどのような役割を果たすのですか？
2026年10月27日、AnthropicのFrontier Red Teamは、Claudeモデルを使って発見した脆弱性に関する報告を公開しました[4][11]。CVE-2026-98432について同チームは、Multipath TCP（MPTCP）のリスナーを持つLinuxサーバー上で、認証情報もユーザーの操作もなしに、リモートの攻撃者が任意のコマンドをroot権限で実行できるエクスプロイトを作成したとしています[4]。MPTCPは、1つの接続で複数のネットワーク経路を同時に使えるようにするTCPの拡張です。
Anthropicは2つの段階を説明しています。まず、エクスプロイトはカーネルのポインターを漏えいさせ、カーネルのアドレスのランダム化であるKASLRを無効化します。次に、コールバックポインターを上書きし、攻撃者が選んだコマンドをカーネルにroot権限で実行させます[4]。競合に負けてもハンドシェイクが失敗するだけでシステムはクラッシュしないため、攻撃者は何度でも再試行できます[4]。Anthropicの概念実証では、カーネルポインターの漏えいに48分かかり、コマンドの実行にはさらに5分かかりました[4]。
MPTCPは必須ですか？
評価を行ったベンダーによれば、必須ではありません。Red Hatは、MPTCPはこの欠陥の必須条件ではなく、MPTCPを無効にしたシステムも影響を受けたままだと述べています[6]。Goのセキュリティチームは、実証されたエクスプロイトにはMPTCPのリスナーが必要だが、根本のバグはMPTCPに固有のものではないとしています[5]。Goが関係するのは、Go 1.24以降、LinuxではGoプログラムの待ち受けソケットでMPTCPがデフォルトで有効になっているためです[5]。
Akamaiによると、Anthropicはroot権限を得るエクスプロイトを公開しておらず、Akamaiは2026年11月2日の時点で、公開された実用的なエクスプロイトを把握していないと述べました[11]。
どのカーネルバージョンとディストリビューションが修正済みですか？
カーネルのCVEチームは、アップストリームの修正として5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、メインラインの7.3を挙げています[2]。ただし、ほとんどの人はディストリビューションがビルドした独自のバージョン番号のカーネルを使っています。アップストリームの番号を比べるのではなく、使用しているディストリビューションのアドバイザリを確認してください。
2026年11月3日時点の状況：
- Red Hat Enterprise Linux：RHEL 8、9、10向けの修正済みカーネルが2026年11月1日にリリースされました。RHEL 6と7は影響を受けないとされています。RHEL 9のリアルタイムカーネルとOpenShiftのノードイメージは、まだ影響ありとされています[7]。
- Ubuntu：Ubuntuはこの問題をCriticalと評価しています。トラッカーでは、26.10、26.04 LTS、24.04 LTS、22.04 LTSが脆弱で修正作業中とされ、20.04、18.04、16.04も脆弱、14.04は影響なしとされています[8]。
- Debian：Debian 12 bookworm（linux 6.1.190-1およびlinux-6.12 6.12.113-1~deb12u1）、Debian 13 trixie（linux 6.12.113-1）、およびunstable向けに修正が提供されています[9]。
- AlmaLinux：AlmaLinux 8、9、10向けの修正済みカーネルが本番リポジトリに公開されています[10]。
- その他：Akamaiの報告によると、2026年10月30日までにSUSE、Oracle Linux、Amazon Linux 2023が一部のリリース向けに修正済みカーネルを公開しました[11]。
Androidスマートフォンはどうですか？
AndroidはLinuxカーネルを使用していますが、2026年11月2日に公開されたAndroidセキュリティ情報にはCVE-2026-98432は記載されていません[13]。スマートフォンの利用者は、メーカーが公開するセキュリティアップデートをインストールしてください。
サーバーが脆弱かどうかはどのように確認しますか？
- 実行中のカーネルを確認します。
uname -rを実行します。修正が有効になるのは、マシンが新しいカーネルで再起動した後だけです。AlmaLinuxは、再起動してuname -rでバージョンを確認するよう利用者に案内しています[10]。 - ベンダーのトラッカーと照合します。使用しているディストリビューションのセキュリティページでCVE-2026-98432を調べます。Red Hat[7]、Ubuntu[8]、Debian[9]、AlmaLinux[10]は、それぞれ修正を含むパッケージのバージョンを掲載しています。
- MPTCPを確認します。
sysctl net.mptcp.enabledでMPTCPが有効かどうかがわかります。sudo ss -lnMpはMPTCPのリスナーとそれを所有するプロセスを一覧表示します[10]。Akamaiはnet.ipv4.tcp_migrate_reqの確認も勧めています[11]。 - Goのサービスを探します。Go 1.24以降でビルドされたGoプログラムは、LinuxではデフォルトでMPTCPのリスナーを開きます[5]。そのため、運用しているGoのサービスはどれも、Anthropicが悪用した経路を露出させている可能性があります。
- 上位の製品を確認します。Red Hatは、OpenShift、OpenStack、Red Hat Virtualizationなど、RHELのカーネルを基盤とする製品も影響を受ける可能性があると警告しています[6]。
CVE-2026-98432を修正または緩和するにはどうすればよいですか？
本当の修正は、パッチを適用したカーネルです。Red Hatはカーネルの更新を適用することが唯一の完全な解決策だとしており[6]、Goのセキュリティチームも、最善の修正はパッチ済みのカーネルにアップグレードすることだと述べています[5]。ディストリビューションのカーネル更新をインストールし、再起動して、実行中のバージョンを確認してください。
パッチが届くまでに何ができますか？
- IPv4オプションを含むTCPパケットを破棄します。Red Hatが公開し、Ubuntuのトラッカーにもユーザー提供の回避策として掲載されているnftablesのルールは、IPヘッダーが基本の20バイトより長い受信IPv4 TCPパケット、つまりオプションを含むパケットを破棄します（
ip hdrlength > 5）[6][8]。タイムスタンプやウィンドウスケーリングなどの通常のTCPオプションはTCPヘッダー内にあるため、影響を受けません[8]。両ベンダーとも、このルールはリスクを減らすものの悪用を完全には防げないとしています[6][8]。 - ルールの限界を把握します。AlmaLinuxは、同社版のルールは再起動後に残らないこと、同じホスト上のコンテナ間の通信はルールを迂回する可能性があること、ルーティングを行うホストでは転送パケットも破棄されること、CIPSO/NetLabelのラベルに依存するネットワークは機能しなくなることを指摘しています[10]。Ubuntuは、独立したネットワークを持つコンテナには個別にルールを適用する必要があると注意しています[8]。
- 不要であればMPTCPを無効にします。
net.mptcp.enabled=0を設定すると、システム全体でMPTCPが無効になります[10]。Akamaiはnet.ipv4.tcp_migrate_req=0の設定も勧めています[11]。ただしAkamaiは、MPTCPを無効にするだけでは悪用を防げず、競合状態を引き起こす確率が下がるだけだと警告しています[11]。GoプログラムはGODEBUG=multipathtcp=0で個別に無効化することもできますが、Goチームはプログラムごとの無効化は脆弱な方法だとしています[5]。 - 境界でフィルタリングします。OpenShiftについてRed Hatは、ノード上のルールではPod間の通信をフィルタリングできないが、クラスターの手前のネットワーク境界でフィルタリングすればその制約を避けられると説明しています[6]。
init_on_free=1は役に立ちますか？
oss-securityへのある投稿では、追加の応急策としてinit_on_free=1のブートオプションが提案されました。これに対しCIQのカーネルチームのメンバーは、このCVEに対して意味のある緩和策にはならず、アドバイザリで重視すべきではないと返信しています[12]。これは一般的なハードニングとして扱い、このバグの緩和策とは考えないでください。
CVE-2026-98432は悪用されていますか？
2026年11月3日時点で、CVE-2026-98432は、実際の悪用が確認された欠陥を米国政府がまとめたCISAの既知の悪用された脆弱性カタログに掲載されていません[14]。Akamaiは2026年11月2日に、公開された実用的なエクスプロイトを把握していないと述べました[11]。ただし、それは誰もこのバグを悪用していないことの証明ではありません。信頼性の高いエクスプロイトが存在することはすでに示されており[4]、技術的な詳細もカーネルの修正の中で公開されています[3]。
深刻度に対する見方も時間とともに変化しました。このCVEは2026年10月15日に最初に公開されました[1]。広く注目されたのは、10月27日のAnthropicの報告の後です[4][11]。暫定的な緩和策を含むベンダーの情報は、10月29日から11月2日にかけて相次いで出されました[5][6][10]。最初のレコードにざっと目を通しただけの管理者は、その後の指針を見落としている可能性があります。
今後はどうなりますか？
Red Hatは調査が継続中であるとし、新しい情報が得られ次第、情報を更新するとしています[6]。RHEL 9のリアルタイムカーネルやOpenShiftのイメージ[7]、作業中のUbuntuのカーネル[8]など、残っているパッケージは今後数日から数週間のうちに修正される見込みです。最初の数週間でこれらのページは何度も更新されたため、ニュースの要約ではなくベンダーのトラッカーを確認してください。
カーネルの修正では、関連する問題が1つ未解決のまま残っています。カーネルの説明によると、IPv6のtcp_v6_reqsk_destructor()にも、CALIPSOだけで設定されたオプションについて同じ移行の問題があり、これは別のパッチで対処される予定です[2]。Anthropicの協調的開示ポリシーでは、修正のための90日間に加え、公開アドバイザリを超える詳細を論じるまでにさらに45日間の猶予を設けています[4]。そのため、今後さらに技術的な詳細が公開される可能性があります。
この記事は一般的な技術情報であり、ベンダーのセキュリティアドバイザリや組織のインシデント対応手順に代わるものではありません。
| カーネルまたはディストリビューション | 修正済みバージョンまたは状況 | 備考 |
|---|---|---|
| アップストリームの安定版 5.10 / 5.15 / 6.1 | 5.10.272、5.15.223、6.1.190 [2] | バグは4.4で混入[2] |
| アップストリームの安定版 6.6 / 6.12 / 6.18 | 6.6.159、6.12.113、6.18.56 [2] | 保守中のブランチに修正をバックポート[4] |
| アップストリーム 7.2 / メインライン | 7.2.10および7.3 [2] | メインラインの修正は2026年10月5日にコミット[3] |
| Red Hat Enterprise Linux 8 / 9 / 10 | 修正済みカーネルを2026年11月1日にリリース[7] | RHEL 9のkernel-rtとOpenShiftは引き続き影響あり[7] |
| Ubuntu 22.04、24.04、26.04、26.10 | 脆弱、修正作業中[8] | Ubuntuの優先度：Critical[8] |
| Debian 12および13 | 6.1.190-1と6.12.113-1~deb12u1（12）、6.12.113-1（13）[9] | DLA-4841-1、DLA-4850-1、DSA-6568-1で修正[9] |
| AlmaLinux 8 / 9 / 10 | 修正済みカーネルを本番リポジトリで提供[10] | MPTCPはデフォルトで無効だが、修正は依然として必要[10] |
よくある間違い
カーネルパッケージをインストールしたのに再起動しない
正しいやり方: 古いカーネルは再起動するまで動き続けます。AlmaLinuxが勧めるとおり、再起動してからuname -rで実行中のバージョンを確認してください[10]。
MPTCPが無効だからサーバーは安全だと思い込む
正しいやり方: Red Hatは、MPTCPは必須条件ではなく、無効にしたシステムも影響を受けたままだとしています[6]。Akamaiは、MPTCPを無効にしても競合状態を引き起こす確率が下がるだけだとしています[11]。カーネルにパッチを適用してください。
nftablesのルールを修正とみなす
正しいやり方: Red HatとUbuntuはいずれも、IPv4オプションを対象とするルールは露出を減らすものの悪用を完全には防げないとしています[6][8]。修正済みカーネルをインストールするまでの間だけ使い、その後はRed Hatの説明に従って削除してください[6]。
アップストリームのバージョン番号とディストリビューションのカーネルを比べる
正しいやり方: ディストリビューションは独自のバージョン番号で修正をバックポートします。Red Hat[7]、Ubuntu[8]、Debian[9]など、使用しているベンダーのトラッカーでCVEを確認してください。
コンテナやクラスターのことを忘れる
正しいやり方: 同じホスト上のコンテナ間の通信はホストのファイアウォールルールを迂回する可能性があり[10]、OpenShiftのノードのルールはPod間の通信をフィルタリングしません[6]。コンテナはホストのカーネルを共有しているため、ホストのカーネルにパッチを適用してください。
よくある質問
CVE-2026-98432は本当に存在するのですか？どのくらい深刻ですか？
はい。LinuxカーネルのCVEチームが2026年10月15日付で公開したCVEレコードで、CVSS 3.1のスコアは9.8（Critical）です[1]。Red Hat[7]とUbuntu[8]もCriticalと評価しています。
CVE-2026-98432は自宅のパソコンやスマートフォンに影響しますか？
Red Hatによると、最も直接的に攻撃にさらされるのは外部からのTCP接続を受け付けるシステムで[6]、主にサーバーが該当します。2026年11月2日に公開されたAndroidのセキュリティ情報には、このCVEは記載されていません[13]。いずれにしても、ベンダーのアップデートをインストールしてください。
脆弱になるにはMPTCPが有効である必要がありますか？
いいえ。AnthropicのエクスプロイトはMPTCPのリスナーを使用していましたが[4]、Red HatはMPTCPは必須条件ではないとしており[6]、Goのセキュリティチームも根本のバグはMPTCPに固有のものではないとしています[5]。
CVE-2026-98432を修正したLinuxカーネルのバージョンはどれですか？
アップストリームの修正は5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、7.3に含まれています[2]。ディストリビューションのカーネルは独自の番号を使うため、ベンダーのアドバイザリを確認してください[7][8][9]。
CVE-2026-98432の公開エクスプロイトはありますか？
Anthropicは動作する概念実証について説明していますが、公開はしていません[4][11]。2026年11月2日時点でAkamaiは公開された実用的なエクスプロイトを把握しておらず[11]、11月3日時点でこのCVEはCISAのKEVカタログに掲載されていませんでした[14]。
IPv6は影響を受けますか？
主要な問題の影響は受けません。カーネルの説明によると、IPv6はオプションを移し替えるのではなく複製しますが、CALIPSOのオプションに関して移行に関連する問題があり、これは別のパッチで修正される予定です[2]。
用語集
- CVE
- 共通脆弱性識別子（Common Vulnerabilities and Exposures）：CVE-2026-98432のように、文書化された特定のセキュリティ上の欠陥に付けられる公開の識別子です[1]。
- use-after-free（解放後使用）
- ソフトウェアがメモリを解放した後もそのメモリを使い続けるメモリ安全性のバグで、そのメモリにはすでに別のデータが入っている可能性があります。
- CVSS
- 共通脆弱性評価システム（Common Vulnerability Scoring System）：0から10までの深刻度スコアで、9.8はCriticalの区分に入ります[1]。
- MPTCP
- Multipath TCP：1つのTCP接続で複数のネットワーク経路を使えるようにする拡張です。Go 1.24以降では、Linuxの待ち受けソケットでデフォルトで有効になっています[5]。
- IPv4オプション
- Record RouteやTimestampなど、IPv4ヘッダー内の任意のフィールドです。攻撃者はこれをSYNパケットに含めることで、脆弱なコードに到達できます[1]。
- KASLR
- カーネルアドレス空間配置のランダム化（Kernel Address Space Layout Randomisation）：カーネルを予測できないメモリアドレスに配置する防御機能です。Anthropicのエクスプロイトは、まずポインターを漏えいさせてこれを無効化します[4]。
- RCU
- read-copy-update：メモリを使用中の読み手がいなくなるまで解放を遅らせるカーネルの手法です。修正では、2つの解放処理をkfree_rcu()に切り替えています[2]。
出典
- CVE-2026-98432: ipv4: free inet_opt and ireq_opt after an RCU grace period CVE Program (record assigned by the Linux kernel CNA) · 2026-10-15
- CVE-2026-98432 announcement: description, severity and affected/fixed versions Linux kernel CVE team (kernel.org) · 2026-10-15
- ipv4: free inet_opt and ireq_opt after an RCU grace period (mainline commit e3f33b0a1d89) Linux kernel source tree (kernel.org) · 2026-10-05
- Discovering vulnerabilities with Claude Anthropic · 2026-10-27
- Fwd: Protecting against CVE-2026-98432 when using Go programs (Go Security Team announcement) oss-security mailing list (Openwall) · 2026-10-30
- RHSB-2026-016 Use-after-free - kernel IPv4 (CVE-2026-98432) Red Hat Product Security · 2026-10-30
- CVE-2026-98432 (Red Hat CVE database: severity, statement and affected packages) Red Hat; live page, retrieved 2026-11-03 · 2026-10-15
- CVE-2026-98432 | Ubuntu Canonical Ubuntu Security; live page, retrieved 2026-11-03 · 2026-10-15
- CVE-2026-98432 (Debian Security Bug Tracker) Debian Security Team; live page, retrieved 2026-11-03
- CVE-2026-98432: fixed kernels and interim mitigations for AlmaLinux AlmaLinux OS Foundation (Andrew Lukoshko) · 2026-10-30
- CVE-2026-98432: A Remote Use-After-Free in the Linux Kernel's TCP Stack Akamai Security Intelligence Group · 2026-11-02
- Re: CVE-2026-98432: init_on_free=1 as an additional interim mitigation oss-security mailing list (Openwall) · 2026-11-03
- Android Security Bulletin, November 2026 Android Open Source Project (Google) · 2026-11-02
- Known Exploited Vulnerabilities Catalog US Cybersecurity and Infrastructure Security Agency (CISA); checked 2026-11-03
コメント
トップコメント