Linuxカーネルの重大な脆弱性「CVE-2026-98432」とは？ネット越しに乗っ取られるおそれ。UbuntuやVPSを使う会社がやるべきこと

2026年10月15日、Linuxの中核部分であるLinuxカーネルの脆弱性「CVE-2026-98432」が公表されました。サーバーがインターネットから通信を受け付ける処理（IPv4のTCP）にある問題で、深刻度は10点満点中9.8（緊急）と評価されています。

さらに10月27日、AIを開発するAnthropicが、まだ公開していないAIモデルが、この脆弱性を使ってネット越しにサーバーの管理者権限を奪う攻撃コードを作れたと発表し、大きな話題になっています。

Linuxは、Webサイトやシステムを動かすサーバーの多くで使われています。この記事では、この脆弱性がどんなものか、自社のサーバーが対象になるのか、そして何をすればいいのかを、専門家でない方にも分かるように整理します。

この記事は2026年10月30日時点の公開情報をもとに作成しています。各Linuxディストリビューションの修正状況は日々変わっています。最新情報は記事末尾の参考情報（各社のセキュリティ情報）もあわせてご確認ください。

まず結論：やること

1. 自社のWebサイトやシステムが、どんなサーバーで動いているかを確認する（レンタルサーバーか、VPS・クラウドか）
2. 共用のレンタルサーバーなら、基本的にはサーバー会社が対応します。サーバー会社のお知らせを確認しておきましょう
3. VPS・クラウド・自社サーバーなら、OS（Ubuntu、Debian、Red Hat系など）の修正版のカーネルが出ているかを確認する
4. 修正版が出ていれば、更新して再起動する（カーネルは、更新しただけでは入れ替わりません）
5. Ubuntuや Red Hat Enterprise Linuxのように修正版がまだのOSでは、配信されたらすぐ当てられるよう、再起動の日程を先に決めておく

CVE-2026-98432とは？何が起きたのか

脆弱性の概要

仕組みをかんたんに

サーバーが通信を受け付けるとき、TCPでは「接続してもいい？（SYN）」「いいよ（SYN-ACK）」とやり取りをして、接続を確立します。

このとき、相手の通信に付いていた「IPオプション」という追加情報を、カーネルはメモリに保存しておきます。ところが、接続が確立する瞬間と、相手が同じ「接続してもいい？」をもう一度送ってきた瞬間がちょうど重なると、

• 片方の処理が、もう使わないと判断してそのメモリを片づけ（解放し）
• もう片方の処理が、片づけ済みのメモリを読んで返事を作ってしまう

ということが起こりえました。片づけ済みのメモリには、別のデータが入っているかもしれません。これを攻撃者がうまく操ると、カーネルの中身を盗み見たり、カーネルに任意の命令を実行させたりできるおそれがあります。

修正は、メモリを片づけるタイミングを「ほかの処理が使い終わるまで待ってから」に変えるというものです。

「重なる瞬間」を狙うのは難しいのでは？

タイミングが重なる必要があるため、1回で狙いどおりに成功させるのは簡単ではありません。ただし、失敗しても接続が1つ失敗するだけで、サーバーは落ちないため、攻撃者は何度でも試せます。後述するAnthropicの検証でも、何度も試すことで最終的に乗っ取りに成功しています。

Anthropicの発表：AIが「ゼロクリック」の攻撃コードを作った

10月27日、Anthropicのセキュリティ研究チーム（Frontier Red Team）は、まだ公開していないClaudeの研究用モデルに、実在するソフトウェアの脆弱性を探させ、攻撃コードを作らせた結果を発表しました。

その中で、このCVE-2026-98432について、次のように説明しています。

• 対象は、マルチパスTCP（MPTCP）で通信を待ち受けているLinuxサーバー
• 攻撃者は、ログインも利用者の操作も不要（ゼロクリック）
• 検証環境では、カーネルの配置を割り出すまでに約48分、そこから約5分で、管理者（root）権限で命令を実行できた
• 脆弱性はすでに修正され、各安定版にも反映されている

なお、Anthropicは攻撃コードそのものは公開していません。また、この記事の時点で、この脆弱性が実際の攻撃に使われたという報告はありません。アメリカのCISAが公開している「悪用が確認された脆弱性」のリスト（KEV）にも、10月29日時点で載っていません。

一方で、「AIが短時間で攻撃コードを作れた」ということは、攻撃する側も同じことをしてくる可能性があるということです。修正版が出ているのに放置する理由はありません。

「マルチパスTCP」とは

マルチパスTCP（MPTCP）は、Wi-Fiとモバイル回線など、複数の経路を同時に使って1つの通信を行うための仕組みです。Linuxでは標準では使われていませんが、プログラミング言語Goの1.24以降で作ったサーバーでは、標準で有効になる場合があります。

ただし、CVEの説明や修正の内容には、MPTCPのことは書かれていません。MPTCPを使っていないサーバーは安全、とは言い切れないので、MPTCPの有無にかかわらず、修正版への更新を進めてください。

影響を受けるサーバー

この脆弱性はLinuxカーネルそのものの問題です。そのため、WordPressやPHPのバージョンには関係なく、サーバーのOSがLinuxであれば、対象になる可能性があります。

ただ、サーバーの借り方によって、誰が対応するかが変わります。

VPS・クラウド・自社サーバーの場合、サーバー会社は基本的に中のOSまでは更新してくれません。「制作会社に作ってもらったシステムがVPSで動いているが、その後の保守契約はない」というケースが、いちばん放置されやすいパターンです。

なお、Windowsのサーバーや、Linux以外のOSには、この脆弱性はありません。また、IPv6での通信は、主な問題の対象外とされています。

各OS（ディストリビューション）の修正状況

Linuxカーネル本体では修正済みで、修正を含む安定版として、5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、7.3などが公開されています。

ただし、実際にサーバーで使うのは、Ubuntuなどの各OSが配信するカーネルです。2026年10月29〜30日時点の状況は次のとおりです。

日本のVPSやクラウドでよく使われるUbuntuと、Red Hat系（RHELや、その互換OS）は、修正版がまだ出ていません。これらのOSを使っている場合は、各社のセキュリティ情報を確認し、修正版が出たらすぐに当てられるように準備しておくのが現実的な対応です。

各社で評価が分かれている

深刻度の評価は、組織によって差があります。

• Linuxカーネルの脆弱性担当チーム・Ubuntu：9.8（緊急・優先度「高」）
• SUSE・Oracle：8.1（重要）
• Red Hat：公開ページでは5.9（中程度）とし、「タイミングを合わせるのが難しく、現実的な最悪の影響はサービス停止」と説明。ただし機械向けのデータでは8.1（重要）に引き上げられているという報道もあり、評価が揺れています

評価が低めの会社があるのは、タイミングを合わせる難しさを重く見ているためです。ただ、Anthropicが実際に乗っ取りまで成功させていることを考えると、「難しいから大丈夫」とは考えないほうが安全です。

自社のサーバーが対象か確認する方法

VPSやクラウドのサーバーに、SSHでログインできる方向けの確認方法です。作業に慣れていない場合は、無理をせず委託先や専門家に依頼してください。

1. OSとカーネルのバージョンを確認する

# OSの種類とバージョン
cat /etc/os-release

# いま動いているカーネルのバージョン
uname -r

uname -r で表示されたバージョンが、使っているOSの修正版より古ければ、対象です。

2. 修正版が出ているか確認して、更新する

DebianやUbuntuなら、次のコマンドで更新できるものを確認し、更新します。

sudo apt update
apt list --upgradable | grep linux-image
sudo apt upgrade

Red Hat系（RHEL、AlmaLinux、Rocky Linuxなど）やAmazon Linuxなら、次のとおりです。

sudo dnf check-update kernel
sudo dnf update kernel

3. 再起動して、カーネルが入れ替わったか確認する

カーネルは、更新しただけでは入れ替わりません。再起動して、もう一度 uname -r を実行し、修正版のバージョンになっていることを確認してください。

再起動のあいだは、サイトやシステムが数分間止まります。アクセスの少ない時間帯に行い、再起動後にサイトやシステムが正しく動いているかも確認しましょう。

修正版が出るまでのあいだにできること

Ubuntuや Red Hat系のように、修正版がまだのOSでは、次の点を確認しておくと、狙われる範囲を狭められる可能性があります。ただし、どの会社も「これで防げる」とは認めておらず、あくまで修正版を当てるまでのつなぎです。

• 外から接続できるポートを必要最小限にする（ファイアウォールやクラウドのセキュリティグループで、使っていないポートを閉じる）
• マルチパスTCPで待ち受けているサービスがないか確認する（ss -Mltn などで確認できます。Goで作ったサービスは要注意）
• 設定 net.ipv4.tcp_migrate_req が 0（無効）になっているか確認する（sysctl net.ipv4.tcp_migrate_req。標準は0です）
• Ubuntu ProのLivepatch（再起動なしでカーネルを修正する仕組み）を使っている場合は、この脆弱性が対象になるかを確認する

レンタルサーバーを使っている場合

エックスサーバーなどの共用のレンタルサーバーでは、カーネルの更新はサーバー会社が行います。利用者がやることは、基本的には次の2つです。

• サーバー会社のお知らせ（メンテナンス情報・障害情報）を確認しておく
• 更新のために再起動のメンテナンスが予定されることがあるので、その時間帯を把握しておく

ただし、レンタルサーバーとは別に、予約システムや会員サイトなどをVPSで動かしているケースもよくあります。「ホームページはレンタルサーバー、システムはVPS」という構成になっていないか、一度確認してみてください。

C-TechLabにできること

C-TechLabでは、中小企業や制作会社さまのサーバー・システムの保守をお手伝いしています。

• 影響の確認：お使いのサーバーの種類・OS・カーネルのバージョンを確認し、対象かどうかを判断します
• カーネルの更新と再起動：アクセスの少ない時間帯に更新・再起動を行い、サイトやシステムが正しく動くかを確認します
• 修正版が出るまでの対策：使っていないポートの整理や、マルチパスTCPの確認など、狙われる範囲を狭める設定を行います
• 「作ったまま」のシステムの保守：制作会社が作ったあと保守が止まっているVPS上のシステムも、状況を伺ったうえでお引き受けします
• 月額の運用保守：OSやミドルウェアの更新を継続して行い、急な脆弱性にもすばやく対応します

「サーバーがどこにあるのかも分からない」という段階でも大丈夫です。代表エンジニアが直接、状況を伺います。詳しくはホームページ運用保守のページもご覧ください。

よくある質問

CVE-2026-98432とは何ですか？

CVE-2026-98432は、Linuxカーネルの通信処理（IPv4のTCPで接続を確立する処理）にある脆弱性です。複数の処理が同時に動いたときに、片づけ済みのメモリを読んでしまう問題で、ログインなしでネット越しに悪用されるおそれがあります。深刻度はCVSS 9.8（緊急）と評価されており、2026年10月15日に公表されました。

レンタルサーバーでWordPressを使っています。対応は必要ですか？

共用のレンタルサーバーでは、Linuxカーネルの更新はサーバー会社が行うため、利用者が直接対応することは基本的にありません。サーバー会社のお知らせを確認し、再起動のメンテナンスが予定されていないかを把握しておきましょう。ただし、予約システムなどを別にVPSで動かしている場合は、そちらの対応が必要です。

実際に攻撃されているのですか？

2026年10月30日時点で、この脆弱性が実際の攻撃に悪用されたという報告はありません。CISAの「悪用が確認された脆弱性」のリスト（KEV）にも載っていません。ただし、Anthropicは未公開のAIモデルが乗っ取りまでの攻撃コードを作れたと発表しており、早めに修正版を当てることをおすすめします。

Ubuntuを使っていますが、まだ修正版が出ていません。どうすればいいですか？

2026年10月30日時点で、Ubuntu 22.04・24.04・26.04 LTSなどの修正版は「対応中」です。Ubuntuのセキュリティ情報（CVEのページ）を確認し、修正版が配信されたらすぐに更新して再起動できるよう、作業日を先に決めておきましょう。それまでのあいだは、外から接続できるポートを必要最小限にする、マルチパスTCPで待ち受けているサービスがないかを確認する、といった対策で狙われる範囲を狭めます。

カーネルを更新したら、それで終わりですか？

いいえ、更新したあとに再起動が必要です。Linuxのカーネルは、更新してもサーバーを再起動するまでは古いものが動き続けます。再起動後に「uname -r」で修正版のバージョンになっていることを確認し、サイトやシステムが正しく動いているかもあわせて確認してください。

参考情報

• Ubuntu「CVE-2026-98432」（2026年10月15日公開、10月29日更新）
• Debian「Security Tracker: CVE-2026-98432」
• Linux kernel「ipv4: free inet_opt and ireq_opt after an RCU grace period」（修正のコミット）
• Anthropic「Discovering and exploiting vulnerabilities in critical, real-world software with Claude」（2026年10月27日）
• Amazon Linux Security Center「CVE-2026-98432」
• Red Hat Bugzilla「Bug 2553390」
• Cyber Kendra「Critical Linux Kernel TCP Flaw CVE-2026-98432 Still Unpatched on Ubuntu and RHEL」（2026年10月29日）
• Rescana「Linux Kernel CVE-2026-98432: Critical TCP Use-After-Free, No RHEL or Ubuntu Fix Yet」