CVE-2026-98432とは？Linuxカーネルの脆弱性と修正状況を確認する手順

CVE-2026-98432は、LinuxカーネルのIPv4/TCP処理に関する実在の脆弱性識別子です。2026年10月15日にLinux kernel CVEチームが公開しました。TCPの接続要求を複数のCPUが同時に処理する場面などで、参照中のメモリが解放されるuse-after-free（解放後使用）が発生する可能性があります。影響の判定には、カーネルの番号だけでなく、ディストリビューション、導入済みパッケージ、配布元の修正状況を照らし合わせる必要があります。

情報確認日：2026年10月30日（日本標準時、JST／UTC+09:00）。以下の状況は確認日時点のものです。修正パッケージの提供状況はその後変わる可能性があるため、作業直前に公式情報を再確認してください。

最初に確認したい結論

• 識別子は正式に公開されています。「CVE番号が存在しない」という前提で対応を止めないでください。
• 主な対象はLinuxカーネルのIPv4 TCP接続処理です。競合状態により、カーネルクラッシュやサービス停止につながる可能性があります。
• 上流Linuxの修正済み系列と、Ubuntu・Red Hat・Amazon Linuxなどの配布パッケージの修正状況は別々に確認します。
• 更新パッケージをインストールしただけでは、稼働中のカーネルが切り替わっていないことがあります。必要な再起動と再確認を管理手順に含めます。

CVE-2026-98432では何が問題になるのか

Linux kernel CVEチームの告知によると、tcp_v4_syn_recv_sock()がIPv4の要求ソケットに付随するオプション領域の所有権を子ソケットへ移す際、別のCPUが再送されたSYNに対応して同じ領域を参照し続けることがあります。その間に領域が通常のkfree()で解放されると、ip_options_build()などで解放後使用が起こり得ます。要求ソケットの移行処理でも類似の問題が説明されています。

上流の修正は、参照側が使用するRCU（Read-Copy-Update）の保護期間が終わるまで解放を遅らせるkfree_rcu()の利用です。技術的には同時実行時のメモリ寿命管理の問題であり、「特定のLinuxコマンドを実行しただけで必ず発症する」というものではありません。

Red Hatは、到達可能なTCPサービスに対する巧妙な通信が競合を引き起こした場合、主にサービス拒否（DoS）となる可能性を説明しています。一方、データ漏えいや任意コード実行が実証されたと断定できる公開資料は、今回確認した公式情報にはありません。IPv6についても「すべて影響なし」と一括りにはできません。上流の説明では最初のIPv4固有の問題とIPv6の要求ソケット移行に関する別の論点が区別されています。

一次情報：Linux kernel CVEチームの公開告知、Linuxカーネル側のCVE公開記録。

上流カーネルではどのバージョンで修正されたか

Linux kernel CVEチームの2026年10月15日付告知は、問題がLinux 4.4系列に入った変更に由来すると説明し、修正を取り込んだ上流系列の例として次を示しています。これは各Linuxディストリビューションの「修正済みパッケージ番号」と同じ意味ではありません。

たとえばパッケージ名に6.8が含まれていても、配布元が修正をバックポートしていれば安全性の判定は上流の数字だけではできません。逆に新しい数字を見ただけで修正済みと断言することも避けます。公式のCVEレコードやディストリビューションのセキュリティ告知が更新された場合は、そちらの判定を優先してください。

【架空の例】Ubuntu 24.04 LTSで運用するWebサーバーを確認する

ここからは手順を理解するための仮想ケースです。日本国内の企業がUbuntu 24.04 LTSのWebサーバー2台を運用しており、担当者が「CVE-2026-98432は当社に関係するか」と調べ始めた、と仮定します。台数、構成、確認結果はいずれも説明用の設定であり、実在する企業の調査結果ではありません。

ステップ1：OSと稼働中カーネルを記録する

cat /etc/os-release
uname -r
uname -m

/etc/os-releaseで配布元とリリースを、uname -rで現在動作中のカーネルを、uname -mでアーキテクチャを確認します。クラウド用、低遅延用、OEM用などのカーネルを使う環境では、同じUbuntu 24.04でも対応するパッケージ系列が異なるため、機種やクラウドの構成も記録します。

ステップ2：Ubuntu公式CVEページでパッケージ系列を照合する

UbuntuのCVE-2026-98432公式ページは2026年10月26日更新の記録で、通常のlinuxパッケージについてUbuntu 24.04 LTSと22.04 LTSを「Vulnerable / work in progress」と表示しています。ただし、これはページ更新時点の判断です。記事公開後に修正が配信される可能性があります。またlinux-awsやlinux-hweなどを使う場合は、画面内の該当行を必ず確認してください。

ステップ3：更新候補とインストール済みパッケージを調べる

dpkg-query -W "linux-image*"
sudo apt update
apt list --upgradable

最初のコマンドで登録されているカーネル画像パッケージとバージョンを確認し、続いてリポジトリ情報を更新してアップグレード候補を一覧にします。sudo apt updateはパッケージ一覧を更新する操作であり、脆弱性修正そのものをインストールするわけではありません。apt list --upgradableにカーネル更新が出てきた場合でも、その更新がこのCVEを解消するかどうかはUbuntu Security Notice（USN）などで確認します。

この架空の企業の担当者は、現時点で「Ubuntu 24.04 LTSだから影響なし」とも「更新候補があるから修正済み」とも記録しません。配布元の修正提供状況、利用中カーネル、再起動可否を調査中として管理表に残すのが適切です。

ほかのLinuxディストリビューションではどう確認するか

具体例として、Amazon Linuxの公式ページでは2026年10月29日付でAmazon Linux 2023のkernel6.12を「Fixed」、10月24日付でkernel6.18を「Fixed」と記載する一方、別のパッケージ系列には「Pending Fix」が残っています。「Amazon Linux 2023はすべて修正済み」とまとめるのは不正確です。

Red HatはRHEL 8・9・10などに影響を認め、修正を将来の更新へ延期している旨と、同社の評価基準を満たす一般的な緩和策がない旨を公表しています。Oracle Linux側にはUEK向けの修正アドバイザリが掲載されています。同じCVEでも、ベンダーとカーネル系列で判断が変わります。

RHEL系で更新アドバイザリを調べるコマンド

cat /etc/os-release
uname -r
sudo dnf updateinfo list updates security
sudo dnf updateinfo info --cve CVE-2026-98432

DNFのアドバイザリ情報は、接続先リポジトリやサブスクリプションに依存します。該当CVEを指定した情報が出ない場合も、直ちに「影響なし」にはなりません。提供前、リポジトリの未同期、対象製品の違いなどが考えられるため、Red Hatの公式CVEページと照合します。パッケージバージョンのバックポートにも注意してください。

CVSSの点数が違うのはなぜ？

同じ識別子でも、Ubuntuの公開ページはCVSS v3.1で9.8、CVSS v4.0で8.3と表示し、Red Hatは自社製品のCVSS v3.1を5.9と評価しています。これらは評価バージョンと想定する攻撃条件・製品環境が異なるためで、数字だけを切り取って「危険度が確定した」とは言えません。Red Hatはネットワーク経由で競合状態を成立させる複雑さを高く評価し、主な実害を可用性への影響として説明しています。

担当者は点数の大小だけでなく、TCPサービスの外部公開範囲、トラフィック制御、可用性要求、冗長構成、稼働中の修正状況を調べて優先度を決めるべきです。ただしファイアウォールでアクセス元を絞っても、修正プログラムの適用と同義ではありません。侵害が起きた、悪用が確認された、という結論も、別途確認可能な証拠がない限り書かないでください。

更新作業と確認結果をどう記録するか

架空のUbuntu担当者が、公式USNにこのCVEの修正が含まれるパッケージの提供を確認できた場合、保守時間を確保して承認済みの更新手順で適用します。稼働中のアプリケーションとの互換性、冗長化、バックアップ、ロールバック計画も併せて確認します。更新後の再起動は必要な場合に計画的に行い、再起動後にuname -rをもう一度確認します。インストール済みパッケージの番号と、実際に起動しているカーネルの番号は別々に記録してください。

「修正提供待ち」であれば、その状態を明記して次回の公式情報確認日と担当者を決めます。上流の単一コミットを独自に取り込む対応は通常の運用では推奨されません。Linux kernel CVEチームも安定版カーネル全体の更新を勧めています。

対応前の最終チェックリスト

1. CVE-2026-98432の一次情報と公開日を確認したか。
2. OSのリリース、稼働カーネル、導入パッケージ系列を記録したか。
3. 配布元のCVEページで影響区分と修正提供状況を照合したか。
4. 「更新候補あり」と「このCVEを修正済み」を混同していないか。
5. 対象のTCPサービスとネットワーク到達性、業務停止時の影響を把握したか。
6. 更新・必要な再起動・事後確認の計画を立てたか。
7. 修正待ちの場合の再確認日を決めたか。

CVE-2026-98432を調べるときの正しい順番は、「CVEの実在と内容を確認する → 利用環境を特定する → 配布元のパッケージ情報で影響と修正を判定する → 更新後の稼働状態を確かめる」です。単一のCVSS値やカーネルバージョンのみで安全・危険を断定せず、各ベンダーの最新の告知を判断の基準にしてください。

参照元：CVE Programの識別子ページ、Linux kernel CVE告知、Ubuntu公式CVEページ、Red Hat公式情報、Amazon Linux公式情報、Oracle Linux公式情報、Ubuntuのセキュリティ更新の解説。