Linuxカーネルは、OSの中核を担うコンポーネントであり、プロセスやメモリだけでなく、アプリケーションのネットワーク通信も管理します。Webサーバーやデータベース、クラウドサービスなど、さまざまな環境で利用されているため、カーネルのネットワーク処理における不具合は、多くのサービス運用に影響を及ぼす可能性があります。
2026年10月15日、LinuxカーネルのIPv4 TCP接続処理で発生するUse-After-Free脆弱性CVE-2026-98432が公開されました。続いて10月27日、AnthropicはMultipath TCP（MPTCP）リスナーを持つLinuxサーバーにおいて、この脆弱性を悪用し、認証なしでroot権限のコマンド実行に至った研究結果を発表しました。
本記事では、CVE-2026-98432の発生メカニズムと影響条件を確認し、Criminal IP IT資産検索を活用して、Linux関連の外部公開サービスや追加点検が必要な対象を特定する方法を紹介します。
TCP接続処理で発生するメモリ参照エラー
TCPは、データを安定して送受信するために接続を確立し、通信状態を管理するプロトコルです。Linuxカーネルは、この処理の中で接続要求やソケット情報を扱います。
今回の脆弱性は、複数のCPUが同じTCP接続要求を同時に処理する状況で発生します。新しい接続のソケットへ引き渡されたIPv4オプション情報を別のCPUが引き続き使用している一方で、そのソケットが先に解放されることで、メモリが解放される場合があります。その後、応答パケットを生成するコードが、すでに解放されたメモリを再び参照するとUse-After-Freeが発生します。
つまり、一方では処理が完了したと判断してメモリを解放したにもかかわらず、もう一方ではその事実を認識しないまま、同じメモリを使い続けてしまう問題です。公式の説明では、TCP接続要求を別のリスナーへ移す処理でも同様の問題が発生する可能性があるとされています。修正では、他の処理がそのメモリの参照を完了するまで、解放を遅延させる方式が採用されました。
MPTCP環境でリモートコード実行につながった研究
Anthropicは、MPTCPリスナーを持つLinuxサーバーを対象に、情報漏えいと実行フローの制御を組み合わせることで、root権限でのコマンド実行に到達したとしています。MPTCPは、1つの接続で複数のネットワーク経路を利用できるよう、TCPを拡張した技術です。
公開された研究では、認証情報やユーザー操作を必要とせず、リモートから攻撃が行われました。これは、カーネルのメモリ参照エラーが、特定の環境ではシステム権限でのコマンド実行につながる可能性があることを示しています。ただし、すべてのLinuxサーバーで同じ攻撃が可能という意味ではありません。
また、脆弱性そのものは一般的なIPv4 TCP処理コードに存在するため、MPTCPを使用しているかどうかだけを基準に、点検対象から除外すべきではありません。影響の有無は、実際に稼働しているカーネルと修正パッケージの適用状況を基準に確認し、研究で示された攻撃条件を検討する際には、MPTCPリスナーとネットワークアクセス経路もあわせて確認する必要があります。
Criminal IPで外部に公開されているLinux関連資産を特定
カーネル脆弱性に対応するには、まず組織が運用しているLinuxサーバーと、外部からアクセス可能なサービスを把握する必要があります。Criminal IP IT資産検索では、製品情報やサービスバナーを基にLinux関連資産を探索できます。
以下の検索件数は、2026年10月30日に取得した画面を基準としています。各検索条件に一致した結果であり、CVE-2026-98432に脆弱なシステム数を意味するものではありません。
OpenSSHバナーからUbuntuディストリビューション別の点検対象を特定
Ubuntu関連サーバーをディストリビューションごとに確認する場合、OpenSSHのバージョンとUbuntu文字列を組み合わせて検索できます。SSHサーバーは、ログイン認証が行われる前にソフトウェア識別文字列を送信し、このバナーにはOpenSSHのバージョンやディストリビューションに関する情報が含まれる場合があります。
検索クエリ: “OpenSSH_9.6p1 Ubuntu”
検索画面では、合計5,237,688件が確認されました。比較した3つのOpenSSHバナークエリの中で最も多い結果となっており、Ubuntu 24.04 LTSに関連する外部公開サービスを把握する際の手掛かりとして活用できます。国別では、米国1,221,954件、ドイツ855,669件、中国359,732件、フランス354,609件が表示されました。
Ubuntu 22.04 LTSおよび20.04 LTSに関連するサービスは、以下のクエリでも追加調査できます。
| 検索クエリ | バナーから推定できるUbuntuディストリビューション | 検索結果 |
|---|---|---|
| “OpenSSH_8.9p1 Ubuntu” | Ubuntu 22.04 LTS | 2,878,354件 |
| “OpenSSH_8.2p1 Ubuntu” | Ubuntu 20.04 LTS | 914,469件 |
これらの検索結果を組織内部の資産一覧と照合することで、ディストリビューション別の点検対象を整理できます。ただし、OpenSSHのバージョンとカーネルバージョンは異なるため、選別したサーバーでは、実際のディストリビューション、稼働中のカーネル、修正パッケージの適用状況を確認する必要があります。
Linux製品検索から外部公開状況を確認
OpenSSHはカーネルとは別にインストール・更新されるソフトウェアであるため、前述の対応関係は、ディストリビューションを推定するための手掛かりとして活用します。検索で選別したサーバーについては、実際のディストリビューション、稼働中のカーネル、修正パッケージの適用状況を内部で確認する必要があります。
検索クエリ: product: Linux
検索結果では、合計636,810件のLinux関連結果が確認されました。国別では、中国109,407件、韓国97,148件、米国78,709件、台湾46,581件が表示されました。
個別の検索結果では、サービスポートや製品情報、HTTPレスポンスバナーをあわせて確認できます。画面に表示された例では、Linux Kernel、Jetty、Javaが識別されており、一部のレスポンスバナーにはLinuxカーネルのバージョン文字列も含まれていました。これらの情報を組織のIPアドレスやドメイン、内部資産一覧と照合することで、Linux関連サービスの外部公開状況や運用担当者の確認に活用できます。その後、内部で実際のカーネルとパッチ適用状況を確認し、更新対象を判断します。
Ubuntu・Debianバナーから関連サービスを確認
製品検索とあわせてディストリビューション文字列を検索すると、サービスレスポンスにUbuntuやDebianの情報が表示されている結果を確認できます。今回はSSHバナーを確認するため、22番ポートの条件を組み合わせました。
検索クエリ: Ubuntu AND port:22
検索結果では、合計10,745,389件が確認されました。個別の結果では、OpenSSHバナーにUbuntu文字列とパッケージバージョン情報が含まれている例を確認できます。
検索クエリ: Debian AND port:22
Debian条件では、合計3,600,927件が確認されました。画面上のOpenSSHバナーには、Debian文字列と関連パッケージ情報が表示されました。
これら2つのクエリで22番ポートを指定しているのは、ディストリビューション情報が表れるSSHサービスを調査するためです。今回の脆弱性がSSHや22番ポートに限定されるという意味ではなく、ポート条件を指定せずUbuntuまたはDebianを検索することで、関連サービスをより広く確認することもできます。
また、バナーに表示されるOpenSSHバージョンはカーネルバージョンとは異なります。製品検索とバナー検索では識別基準が異なるため、検索件数を単純に合算せず、組織が所有する資産を抽出したうえで重複を整理し、点検リストとして活用します。
対応のポイントはディストリビューション別の修正パッケージと稼働中カーネルの確認
カーネルプロジェクトに修正が反映されたとしても、運用中のディストリビューションに含まれるすべてのカーネルパッケージに更新が提供されているとは限りません。一般カーネルやクラウド向け、HWEなどのカーネル系列によって、修正状況が異なる場合があります。
2026年10月30日時点で、公式セキュリティトラッカーから確認した主な状況は以下のとおりです。
| ディストリビューション・パッケージ | 確認された修正状況 |
|---|---|
| Ubuntu 22.04 LTS・24.04 LTS・26.04 LTS・26.10の主要linuxパッケージ | 脆弱、修正作業中と表示 |
| Debian bookwormのlinuxソースパッケージ | 6.1.190-1で修正 |
| Debian trixieのlinuxソースパッケージ | 6.12.113-1で修正 |
上記は確認時点での状況であり、実際に使用しているカーネル系列やパッケージに応じて、各ベンダーの最新セキュリティ情報を確認する必要があります。
運用環境では、以下の項目を確認します。
- 稼働環境の確認： 外部に公開されているサーバーのディストリビューション、稼働中のカーネルバージョン、インストール済みのカーネルパッケージを確認
- 関連機能とアクセス経路の点検： MPTCPリスナーの使用有無を確認し、外部アクセスが不要なサービスについてはアクセス範囲を制限
- 修正パッケージの適用： ベンダーが提供するセキュリティアップデートを適用。サポート終了環境については、サポート対象のディストリビューションやカーネルへの移行を検討
- 適用結果の検証： 再起動など必要な手順を完了した後、修正済みのカーネルが実際に稼働していることを確認し、サービス動作を検証
ベンダーによっては、既存のカーネルパッケージにセキュリティ修正を反映するバックポート方式を採用する場合があります。そのため、外部バナーやバージョン文字列だけで脆弱性の有無を判断せず、パッケージの修正履歴やベンダーのセキュリティ情報を基準に判断する必要があります。
FAQ
Q1. カーネル脆弱性への対応でCriminal IP IT資産検索はどのように活用できますか？
製品情報やバナーを検索することで、外部から識別可能なLinux関連サービスを抽出し、内部資産一覧と照合できます。これにより、点検対象や運用担当者を確認し、各サーバーの実際のカーネルバージョンやパッチ適用状況の確認につなげることができます。
Q2. 検索結果以外に、個別IPレポートではどのような情報を確認できますか？
リスクレベル、開放ポート、サービスバナー、マッピングされた脆弱性情報などを確認できます。これらの情報は、外部に公開されているサービス構成を把握し、内部の運用情報と照合しながら追加の点検項目を整理する際に役立ちます。
結論
CVE-2026-98432への対応では、まず外部に公開されているLinux関連サービスを特定し、その後、実際に稼働しているカーネルとベンダーの修正状況を確認する必要があります。特に、ディストリビューションやカーネル系列によってアップデートの提供時期が異なる場合があるため、修正パッケージがインストールされているかだけでなく、実際に修正済みのカーネルが稼働しているかまで確認することが重要です。
Criminal IP IT資産検索は、Linux製品情報やUbuntu・Debianバナーを基に関連する外部公開サービスを把握し、個別IPレポートからリスクレベルやサービス情報を確認する際に活用できます。これらの情報を内部資産一覧と関連付けることで、点検対象の見落としを減らし、必要なカーネルアップデートやアクセス制御を各運用環境へ適用する際に役立ちます。
なお、関連して 圧縮データからコード実行につながるNode2Shell：外部公開されたNode.js資産を点検 の記事もご参考ください。
Criminal IP（criminalip.io/ja/register）に登録すると、すぐに脆弱資産の検知を開始できます。さらに、下記ボタンからデモをご依頼いただくことで、エンタープライズ環境において外部に露出した資産を対象としたCriminal IP の脅威インテリジェンス（TI）分析を直接ご確認いただけます。
本レポートは、サイバー脅威インテリジェンス検索エンジン Criminal IP のデータを基に作成されています。
今すぐCriminal IP の無料アカウントを作成すれば、本レポートで引用された検索結果を直接確認したり、さらに膨大な脅威インテリジェンスを自由に検索することができます。
データソース: Criminal IP(https://www.criminalip.io/ja), Ubuntu(https://ubuntu.com/security/CVE-2026-98432), Anthropic(https://www.anthropic.com/research/discovering-vulnerabilities-with-claude), The Hacker News(https://thehackernews.com/2026/10/linux-kernel-tcp-flaw-with-98-cvss.html)
