LinuxカーネルのIPv4/TCP接続処理にUse After Free脆弱性、CVSS 9.8でクリティカル評価

2026年10月、LinuxカーネルのIPv4ネットワークサブシステムに、TCP接続処理の競合状態に起因する深刻な脆弱性が判明した。リモートの攻撃者が細工したIPv4 TCPパケットを送信することで、カーネルのクラッシュによるサービス拒否、メモリ情報の漏えい、メモリ破壊、リモートコード実行につながるおそれがある。

事案の詳細

今回明らかになったのは「CVE-2026-98432」で、LinuxカーネルのIPv4 TCP接続処理に存在する、解放後のメモリを使用する「Use After Free」の脆弱性だ。再送されたTCP接続要求の処理やソケット移行が同時に実行されると、使用中のソケットオプションが解放される競合状態が発生する。

脆弱性は、IPv4のオプション（Record RouteまたはTimestamp）を含むSYNパケットを、待ち受け中のIPv4 TCPポートへ送信することで悪用される可能性がある。悪用された場合、カーネルのクラッシュによるサービス拒否やメモリ破壊が生じるおそれがあるほか、カーネルのメモリ内容が応答パケットに載って攻撃者に送られる情報漏えいも起こり得る。

実証も報告されている。Go言語のセキュリティチームの告知によると、Anthropicが示したエクスプロイトでは、Multipath TCP（MPTCP）の待ち受けを公開しているサーバーでリモートコード実行が可能だったという。Go 1.24以降はLinux上でMPTCPが既定で有効になっており、Goチームは修正済みカーネルへの更新を最優先としたうえで、暫定策として「GODEBUG=multipathtcp=0」の設定を挙げている（oss-security）。

LinuxカーネルのCVE採番機関は2026年10月15日に本脆弱性を公開した。Linuxカーネル4.4以降が影響を受け、修正は複数の安定版系列へ反映されている。

影響と背景

LinuxカーネルのCVE採番機関は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」とし、重要度を最も高い「クリティカル（Critical）」と評価している。ネットワーク経由で、認証や利用者の操作を必要とせず攻撃できる可能性があるため、IPv4 TCPを外部に公開している環境では影響を受けるリスクがある。

対策・今後の展望

• 修正状況の確認：利用しているLinuxディストリビューションが提供するセキュリティアドバイザリを確認し、「CVE-2026-98432」の修正が含まれるカーネルの有無を確認する。
• アップデートの適用：修正済みカーネルへ更新し、必要に応じてシステムを再起動する。
• 影響の把握：IPv4 TCPポートを外部ネットワークへ公開しているサーバーを特定し、更新完了までアクセス制御やファイアウォールによる公開範囲の見直しを行う。

CSRIからのアドバイス

OSやカーネルなど基盤部分の脆弱性は、多数のサービスやシステムへ影響が及ぶ可能性がある。特にネットワークの接続処理に関わる問題では、外部から攻撃を受ける可能性があるため、ディストリビューターの修正情報を継続的に確認する必要がある。

今回の問題は、TCP接続の処理が同時に進む際に、別の処理が使用しているソケットオプションを先に解放してしまうことで発生する。解放済みのメモリを参照すると、システムのクラッシュやメモリ破壊などにつながるおそれがある。

まず利用中のLinux環境について、ディストリビューターから「CVE-2026-98432」の修正が提供されているかを確認し、提供済みであれば適用計画を立てて早めに反映する。あわせて、IPv4 TCPポートを外部へ公開しているシステムを洗い出し、更新手順と影響範囲を確認する。

参照: Linuxカーネル、IPv4のTCP接続処理に深刻な脆弱性 – 実証報告も