Linuxカーネルに、遠隔からサーバーを攻撃されるおそれがある重大な脆弱性「CVE-2026-98432」が見つかりました。
2026年10月15日、Linuxカーネルの開発チームがこの脆弱性を公表し、修正版を案内しました。
さらに10月27日には、AI開発企業Anthropicが、AIモデル「Claude」を利用して、この脆弱性を悪用する攻撃を実証したと発表しています。
実験では、特定の条件を満たすLinuxサーバーに対し、ログイン情報を持たない攻撃者がインターネット経由で管理者権限を取得し、コマンドを実行できたということです。
日本でも、図書館検索サービスを運営するカーリルが10月30日、自社サーバーへの影響と実施したセキュリティ対策について公表しました。
CVE-2026-98432とはどのような脆弱性なのでしょうか。想定される被害やAIによる攻撃実証、カーリルへの影響、Linux利用者が確認したい対策について紹介します。
- CVE-2026-98432とは？Linuxカーネルの重大な脆弱性
- CVE-2026-98432で何が起きる？サーバー停止や乗っ取りの危険性
- AnthropicがClaudeによる遠隔攻撃を実証！root権限を取得
- CVSS 9.8とは？Red Hatの評価が8.1で異なる理由
- カーリルも影響を公表！図書館検索サービスは大丈夫？
- カーリルが実施したセキュリティ対策とは？
- カーリルで情報漏えいは起きた？利用者の対応は必要？
- ほかの図書館や自治体サイトにも影響する？
- CVE-2026-98432の修正版は公開されている？
- Amazon Linux 2023やUbuntuではどう対応する？
- OpenWrtなどのネットワーク機器にも影響する？
- Linux利用者が確認したい対策とは？
- CVE-2026-98432はすでに悪用されている？
- まとめ
- 参考・公式リンク
CVE-2026-98432とは？Linuxカーネルの重大な脆弱性
CVE-2026-98432は、LinuxカーネルのIPv4ネットワーク処理で発見されたセキュリティ上の欠陥です。
Linuxカーネルとは、LinuxというOSの中心部分で、メモリや通信、ハードウェアなどを管理する重要なプログラムです。
今回の問題は、インターネット通信で使われるTCPという仕組みに関係しています。
複数の通信処理がほぼ同時に実行されると、本来はまだ使用しているメモリが解放され、その後に再び参照される可能性があります。
このような問題は「use-after-free（ユース・アフター・フリー）」と呼ばれます。
解放済みのメモリを参照すると、サーバーの異常終了やメモリの破損につながる場合があります。
さらに、特定の条件では攻撃者がこの問題を利用し、本来は許可されていないプログラムを実行できる可能性もあります。
CVE-2026-98432で何が起きる？サーバー停止や乗っ取りの危険性
今回の脆弱性によって想定される影響には、サーバーの停止、メモリ破損、条件によっては不正なプログラムの実行などがあります。
Red Hatは、細工したネットワーク通信によってLinuxカーネルが異常終了し、サービス拒否（DoS）が発生する可能性があると説明しています。
DoSとは、システムが正常に動作できなくなり、利用者がサービスにアクセスできなくなる状態です。
例えば、Linuxを使用しているウェブサーバーに問題が発生した場合、ウェブサイトや業務システムが一時的に利用できなくなるおそれがあります。
さらに今回の脆弱性では、特定の環境において遠隔から管理者権限を取得する攻撃も実証されました。
管理者権限を奪われると、サーバー内の設定変更やプログラムの実行など、本来は許可されていない操作を行われる危険があります。
ただし、すべてのLinuxサーバーに対して同じ攻撃が成功するわけではありません。影響はカーネルのバージョンや通信設定などによって異なります。
日本語の解説動画で脆弱性を確認
今回のCVE-2026-98432については、技術解説動画も公開されています。
GENSYNTHは、Linuxカーネルの通信処理にある欠陥や、深刻度の評価、更新と再起動を確認する重要性について日本語で解説しています。
以下は第三者による解説動画で、Linux開発チームやOSベンダーの公式発表ではありません。
AnthropicがClaudeによる遠隔攻撃を実証！root権限を取得
今回の脆弱性で特に注目されたのが、AI開発企業Anthropicによる2026年10月27日の発表です。
Anthropicは、一般公開されていない社内研究用のClaudeモデルを使用し、実際のソフトウェアに存在する脆弱性の発見や攻撃の実証を行っています。
その研究の一つとして、LinuxカーネルのCVE-2026-98432が取り上げられました。
Anthropicによると、Multipath TCP（MPTCP）という通信機能で接続を待ち受けるLinuxサーバーに対し、外部からroot権限でコマンドを実行する攻撃を実証したということです。
rootとは、Linuxでシステム全体を管理するための強い権限を持つユーザーです。
今回の実験では、攻撃者がログイン情報を持たず、サーバー利用者による操作も必要としない攻撃が成立したとされています。
攻撃実証では約53分でコマンド実行に成功
Anthropicの発表によると、今回の攻撃実証では、まずLinuxカーネル内部のメモリ配置に関する情報を取得し、その後、メモリの問題を悪用して処理の流れを変更しました。
実験では、カーネル内部の情報を取得するまでに約48分、そこからroot権限でのコマンド実行に至るまでにさらに約5分かかったと報告されています。
合計すると約53分です。
ただし、これは研究環境での実証結果であり、一般的なLinuxサーバーすべてで同じ攻撃が成立するという意味ではありません。
AIが脆弱性を発見し、攻撃方法まで組み立てる時代に
Anthropicの研究が注目される理由は、AIがソフトウェアの欠陥を発見するだけでなく、実際に悪用できる攻撃手順の構築にも関与したことです。
従来、複雑な脆弱性を利用した攻撃には、高度な専門知識や長時間の分析が必要でした。
今回の研究は、AIがこうした作業の一部を担えるようになっていることを示しています。
一方で、AIを利用した脆弱性の発見は、防御側が問題を早期に見つけて修正するためにも活用できます。
Anthropicは、発見した脆弱性を関係する開発元へ報告し、修正を進める取り組みも行っていると説明しています。
今回の攻撃実証については、Daily IT Newsも日本語の解説動画を公開しています。
なお、動画は第三者による解説です。攻撃実証の詳しい内容は、Anthropicの公式研究発表で確認できます。
CVSS 9.8とは？Red Hatの評価が8.1で異なる理由
CVE-2026-98432の危険度については、評価元によって異なる数値が示されています。
CVSSは、ソフトウェアの脆弱性がどの程度深刻なのかを数値で表す評価方式です。
数値は0.0から10.0までで、一般的に数値が高いほど深刻な問題と評価されます。
CVE.orgでは、CVE-2026-98432のCVSS v3.1基本値として9.8が示されています。
一方、Red Hatは自社製品を対象とした暫定評価として8.1を示しています。
| 評価元 | CVSS v3.1 | 評価上の違い |
|---|---|---|
| CVE.org | 9.8 | 攻撃の複雑性を低いと評価 |
| Red Hat | 8.1 | 攻撃の複雑性を高いと評価 |
同じ脆弱性でも、利用する製品や設定、攻撃が成功する条件などによって評価が異なる場合があります。
重要なのは、CVSSの数値だけで危険性を判断するのではなく、自分が使用しているLinux環境が影響を受けるかどうかを確認することです。
カーリルも影響を公表！図書館検索サービスは大丈夫？
日本では、図書館検索サービス「カーリル」が、今回の脆弱性による影響について発表しました。
カーリルは2026年10月30日、公式ブログに「Linuxカーネルの重大な脆弱性（CVE-2026-98432）によるカーリルへの影響について」と題した記事を公開しています。
同社によると、運営するサービスはLinuxサーバー上で稼働しており、今回の脆弱性の影響を受けるサーバーが含まれているということです。
対象となるサービスには、次のようなものがあります。
- 図書館検索サービス「カーリル」
- Unitrad API
- カーリル for AI
- 学校図書館支援プログラム
ただし、2026年10月30日時点で、カーリルのサービスにおいて不正アクセスや情報漏えいなどの被害は確認されていないとしています。
カーリルは公式Xアカウントでも、今回の脆弱性による影響と対応状況について案内しています。
カーリルが実施したセキュリティ対策とは？
カーリルは、CVE-2026-98432への対応として、サーバーの更新と通信制限の両方を実施しています。
修正版カーネルを適用してサーバーを再起動
Linuxの配布元から修正版カーネルが提供されているサーバーについては、更新を適用し、再起動を完了したと発表しています。
カーネルはOSの中心部分であるため、更新を反映するにはサーバーの再起動が必要になる場合があります。
更新できないサーバーには通信制限を実施
一方、カーリルが利用するLinuxの一部では、10月30日時点で配布元から修正版が提供されていませんでした。
そのため、修正版を適用できないサーバーについては、脆弱性を引き起こす要因となる「IPオプション付きのTCPパケット」をファイアウォールで遮断する対策を行っています。
カーリルによると、通常のウェブ通信ではIPオプションは使われないため、今回の設定変更による利用者への影響はないとしています。
修正版が提供され次第、対象サーバーにも順次適用する方針です。
ただし、この通信制限はカーリルが自社環境に合わせて実施した対策です。すべてのLinuxサーバーに同じ設定を適用すれば安全になるという意味ではありません。
カーリルで情報漏えいは起きた？利用者の対応は必要？
カーリルは2026年10月30日時点で、今回の脆弱性を悪用した不正アクセスや情報漏えいなどの被害を確認していないと説明しています。
また、これまでの対策作業に伴うサービス停止も発生していないとしています。
カーリルの利用者や図書館に対しては、今回の問題に関して特別な対応は必要ないと案内しています。
一方、今後の更新作業によっては、サービスが一時的に停止したり、不安定になったりする可能性があると説明しています。
詳しくは、カーリル公式ブログの発表で確認できます。
ほかの図書館や自治体サイトにも影響する？
今回の脆弱性は、カーリルだけに存在する問題ではありません。
Linuxカーネルのネットワーク処理に関する問題であるため、影響を受けるカーネルを使用している別のサービスでも対策が必要になる場合があります。
カーリルは、図書館の蔵書検索システム（OPAC）でも順次対応が行われると考えられると説明しています。
図書館や自治体のウェブサイト、企業の業務システムなどでもLinuxが利用されている場合があります。
ただし、Linuxを使用しているという理由だけで、すべてのサービスに同じ危険があるとは限りません。
実際の影響は、使用しているカーネルや更新状況、ネットワーク構成などによって異なります。
また、ウェブサイトが一時停止している場合でも、その原因が今回の脆弱性であるとは限りません。
CVE-2026-98432の修正版は公開されている？
Linuxカーネルの開発チームは、2026年10月15日に今回の脆弱性を公表し、修正を取り込んだカーネルのバージョンも案内しています。
公式告知に記載されている修正版には、次のものがあります。
| カーネル系列 | 修正済みバージョン |
|---|---|
| 6.12系列 | 6.12.113 |
| 6.18系列 | 6.18.56 |
| 7.2系列 | 7.2.10 |
| 7.3開発版 | 7.3-rc7 |
ただし、これらはLinuxカーネルの公式告知で示されたバージョンです。
Ubuntu、Debian、Red Hat、Amazon LinuxなどのLinuxディストリビューションでは、独自に修正を取り込んだカーネルが配布される場合があります。
そのため、利用中のカーネル番号だけを見て安全かどうかを判断するのではなく、各配布元が案内するセキュリティ情報を確認することが重要です。
Amazon Linux 2023やUbuntuではどう対応する？
今回の脆弱性については、利用しているLinuxディストリビューションごとの更新状況にも関心が集まっています。
Amazon Linux 2023の確認例
Amazon Linux 2023では、配布元から提供されるカーネルパッケージやセキュリティ情報を確認する必要があります。
DevelopersIOでは、Amazon Linux 2023におけるCVE-2026-98432への対応状況を調べた記事が公開され、その内容がXでも紹介されています。
Amazon Linux 2023を利用している場合は、AWSの公式セキュリティ情報やパッケージ更新履歴を確認し、利用環境に必要な修正版が提供されているかを調べるとよいでしょう。
Ubuntuの確認例
Ubuntuでも、利用しているカーネルの種類やバージョンによって対応状況が異なります。
Xでは、自身のUbuntu環境でファイアウォールの設定や公開サービス、更新候補を確認したという投稿もあります。
ただし、これは個人環境での確認例です。
Ubuntuを利用している場合は、Ubuntu Security Noticesなどの公式情報を確認し、自分が使用しているカーネルへの影響と更新状況を判断する必要があります。
OpenWrtなどのネットワーク機器にも影響する？
Linuxは、一般的なサーバーだけでなく、ルーターなどのネットワーク機器にも利用されています。
そのため、Linuxカーネルの脆弱性は、組み込み機器の更新状況にも関係する場合があります。
OpenWrtは、主にルーターなどで利用されるLinuxベースのオープンソースOSです。
Xでは、CVE-2026-98432の修正を含むLinuxカーネルへの更新提案が、OpenWrtの開発に関連する変更として紹介されています。
ただし、開発中の更新提案が存在することと、すべての利用者に修正版が配布されていることは別です。
OpenWrtなどを使用する場合も、対象機種やファームウェアの更新状況を公式のリリース情報で確認してください。
Linux利用者が確認したい対策とは？
CVE-2026-98432への基本的な対応は、利用しているLinux環境への影響を確認し、必要なセキュリティ更新を適用することです。
サーバーの管理者は、次の点を確認するとよいでしょう。
- 使用しているLinuxディストリビューションを確認する
- 現在稼働しているカーネルのバージョンを確認する
- 配布元のCVE-2026-98432に関するセキュリティ情報を確認する
- 修正版カーネルが提供されている場合は更新を検討する
- 必要に応じてサーバーを再起動する
- 修正版が未提供の場合は、ベンダーが推奨する暫定対策を確認する
Linuxでは、次のコマンドで現在稼働しているカーネルのバージョンを確認できます。
uname -rただし、このコマンドだけで脆弱性の有無を完全に判断できるわけではありません。
特に、Linuxディストリビューションによっては、古いバージョン番号のカーネルにも修正を取り込む「バックポート」という方法が使われます。
Red Hatは、今回の脆弱性について、広く適用できる緩和策がない、または同社の基準を満たす緩和策がないと案内しています。
設定変更だけで一律に対策できるとは考えず、使用しているLinuxの配布元が案内する方法に従うことが重要です。
CVE-2026-98432はすでに悪用されている？
2026年10月27日、AnthropicはCVE-2026-98432を悪用した攻撃が研究環境で成立することを発表しました。
しかし、研究環境での攻撃実証と、実際の犯罪者がインターネット上のサーバーを攻撃していることは別です。
カーリルは10月30日の発表で、今回の脆弱性を悪用した攻撃について、世界的にも報告されていないと説明しています。
また、カーリル自身のサービスでも不正アクセスや情報漏えいは確認されていません。
ただし、今後も攻撃が行われないという保証はありません。
影響を受けるサーバーの管理者は、実際の被害が報告される前に、更新や緩和策を検討することが重要です。
まとめ
CVE-2026-98432は、LinuxカーネルのIPv4ネットワーク処理で発見された脆弱性です。
特定の通信処理が同時に実行されることで、解放済みのメモリが参照され、サーバーの異常終了やメモリ破損につながるおそれがあります。
さらに2026年10月27日には、AnthropicがClaudeを利用して、この脆弱性から遠隔でLinuxサーバーのroot権限を取得する攻撃を実証したと発表しました。
日本でもカーリルが影響を公表し、修正版カーネルの適用や、IPオプション付きTCPパケットの遮断などの対策を実施しています。
カーリルでは10月30日時点で、不正アクセスや情報漏えいなどの被害は確認されていません。
Amazon Linux 2023やUbuntu、OpenWrtなどを利用している場合も、各OSの配布元が公開するセキュリティ情報を確認することが重要です。
Linuxサーバーやネットワーク機器を管理している場合は、利用環境が影響を受けるかを調べ、必要な更新を適用しましょう。
参考・公式リンク
- Linux kernel CVE team：CVE-2026-98432の公式告知
- Red Hat：CVE-2026-98432の脆弱性情報
- Anthropic：Claudeによる脆弱性発見と攻撃実証の研究発表
- カーリル公式：CVE-2026-98432による影響と対策について
- CVE.org：CVE-2026-98432
コメント