Linuxカーネルの重大脆弱性 CVE-2026-98432（TCP/IPv4 の use-after-free）: Ubuntu / RHEL サーバーを確認して守る手順

Posted at 2026-10-31

この記事は 2026年11月1日時点で Ubuntu と Red Hat が公開している情報をもとにしています。修正パッケージの提供状況は日々変わります。作業前に必ず末尾の参考リンクで各ベンダーの最新情報を確認してください。

TL;DR

CVE-2026-98432 は Linux カーネルの IPv4/TCP 処理にある use-after-free です。認証なしのリモートから、細工した TCP 接続要求でカーネルのメモリ破壊やクラッシュを起こせる可能性があります。
CVSS v3.1 は 9.8（Critical）。Ubuntu の優先度は High（CVSS v4.0 では 8.3）。Red Hat も RHEL での深刻度を Critical としています。RHEL 8 / 9 / 10 は「Affected」で、修正版はまだ出ていません。
11月1日時点で、Ubuntu の linux パッケージ（26.10 / 26.04 LTS / 24.04 LTS / 22.04 LTS）はすべて「Vulnerable（修正作業中）」です。修正版のパッケージはまだ出ていません。 20.04 / 18.04 / 16.04 も「Vulnerable」です。
完全な対策は修正済みカーネルへの更新と再起動だけです。それまでは露出を減らしてください（後述）。
確認するのは「アップストリームのバージョン番号」ではなく、自分のディストリビューションのパッケージの状態です。

1. 何が起きたか（日時は日本時間）

日付	内容
2026年10月15日	CVE 公開（Ubuntu の公開日表記）
2026年10月30日	Ubuntu の CVE ページが最終更新。主要リリースは「work in progress」
2026年11月1日	この記事の確認時点。Ubuntu・RHEL ともに修正版はまだ提供されていない

Ubuntu の説明（要約）：tcp_v4_syn_recv_sock() が SYN のオプション情報（ireq_opt）を子ソケットへコピーせずに引き渡すため、別の CPU が再送 SYN に対して SYNACK を作っている最中に、そのメモリが解放されることがあります。リクエストソケットの移行（net.ipv4.tcp_migrate_req=1 など）にも同様の問題があります。修正は、解放を RCU のグレースピリオド後（kfree_rcu()）に遅らせるものです。IPv6 は前者の問題の対象外ですが、CALIPSO に関係する移行の問題は別パッチで対応予定とされています。

Red Hat の説明（要約）：認証なしのリモート攻撃者が、タイミングを合わせたネットワーク要求で use-after-free を起こせる。主な影響はシステムクラッシュ（DoS）またはメモリ破壊。Red Hat はセキュリティ速報 RHSB-2026-016 を出しています。

2. Ubuntu の状況（2026年11月1日確認）

ソースパッケージ linux（generic）の状態：

リリース	状態	作業中のターゲット版（※提供済みではない）
26.10	Vulnerable, work in progress	7.3.0-10.10
26.04 LTS	Vulnerable, work in progress	7.0.0-43.43
24.04 LTS	Vulnerable, work in progress	6.8.0-149.149
22.04 LTS	Vulnerable, work in progress	5.15.0-203.213
20.04 / 18.04 / 16.04	Vulnerable	—
14.04	Not affected	—

右列のバージョンは修正の作業目標で、リリース済みのパッケージではありません。 linux-aws、linux-azure、linux-gcp、linux-oracle、linux-hwe-*、linux-raspi、linux-realtime などのフレーバーは別の行になっています。自分のフレーバーの行を必ず確認してください。

3. Red Hat（RHEL）の状況（2026年11月1日確認）

Red Hat の CVE ページでは、RHEL での深刻度は Critical（CVSS v3.1 9.8、暫定）です。

製品	パッケージ	状態
RHEL 10	kernel	Affected
RHEL 9	kernel / kernel-rt	Affected
RHEL 8	kernel / kernel-rt	Affected
RHEL 7	kernel / kernel-rt	Not affected
RHEL 6	kernel	Not affected
OpenShift Container Platform 4 / 5	RHEL CoreOS	Affected

「Affected」は影響を受けると判断済みという意味で、修正版はまだ出ていません。AlmaLinux / Rocky Linux / Oracle Linux などの互換ディストリビューションは、各提供元のセキュリティ情報を確認してください。

4. 自分のサーバーを確認する

ここで紹介するのは確認のためのコマンドで、脆弱性を検査するものではありません。

# OS のリリース
cat /etc/os-release

# いま動いているカーネル
uname -r

# Ubuntu / Debian：インストール済みのカーネルパッケージ
dpkg -l 'linux-image*' | grep ^ii

# RHEL 系：インストール済みのカーネルパッケージ
rpm -q kernel

uname -r の末尾（-generic、-aws、-azure など）がフレーバーです。2章の表で該当する行を確認します。

Ubuntu Pro を使っている場合は、次のコマンドで CVE ごとの状態を確認できます。

pro fix CVE-2026-98432

5. 修正版が出たら更新する

# Ubuntu
sudo apt update
apt list --upgradable 2>/dev/null | grep -i linux-image
sudo apt upgrade
sudo reboot

# RHEL 系
sudo dnf check-update kernel
sudo dnf upgrade kernel
sudo reboot

カーネルは再起動するまで切り替わりません。再起動後にもう一度 uname -r を実行し、ベンダーのページで Fixed になっている版と一致することを確認してください。Ubuntu は個別パッケージだけを拾って更新すること（cherry-pick）を推奨していません。

6. 修正版が出るまでにできること（露出を減らす）

以下はつなぎの対策で、修正の代わりにはなりません。

公開している TCP ポートを見直す。インターネットから到達できる必要があるサービスだけに絞ります（ss -tlnp で待ち受けを確認し、セキュリティグループやファイアウォールで制限）。
IP オプション付きの IPv4 TCP パケットを破棄する（Red Hat の速報 RHSB-2026-016 の手順）。通常の TCP オプションは TCP ヘッダーにあるため影響を受けず、一般的な通信はそのまま通ると Red Hat は説明しています。ただし、自分の環境の通信で問題がないか、まず検証環境で確認してください。

cve-2026-98432.nft という名前で保存します：

table inet cve_2026_98432 {
  chain input {
    type filter hook input priority -310; policy accept;
    ip protocol tcp ip hdrlength > 5 counter drop
  }
}

確認して適用します：

sudo nft --check --file cve-2026-98432.nft
sudo nft --file cve-2026-98432.nft
sudo nft list table inet cve_2026_98432

修正済みカーネルに更新したら、ルールを削除します：

sudo nft delete table inet cve_2026_98432

このルールは再起動すると消えます。再起動後も残したい場合は、ディストリビューションの nftables の永続化方法に従ってください。

net.ipv4.tcp_migrate_req を 0 にしても、1つ目の経路は残ります（Ubuntu の説明にあるとおり、移行は2つ目の経路です）。

7. チェックリスト

cat /etc/os-release と uname -r で、リリースとカーネルのフレーバーを確認した
Ubuntu / Red Hat の CVE ページで、自分のパッケージの行の状態を確認した
インターネットに公開している TCP サービスを見直した
すぐ更新できない場合、RHSB-2026-016 の nftables ルールを検証してから適用した
修正版が出たら更新し、再起動した
再起動後に uname -r を確認し、Fixed の版と一致した

参考リンク

Ubuntu: https://ubuntu.com/security/CVE-2026-98432
Red Hat: https://access.redhat.com/security/cve/CVE-2026-98432
Red Hat 速報 RHSB-2026-016: https://access.redhat.com/security/vulnerabilities/RHSB-2026-016
CVE.org: https://www.cve.org/CVERecord?id=CVE-2026-98432
NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-98432
Linux カーネル CVE レコード: https://git.kernel.org/pub/scm/linux/security/vulns.git/plain/cve/published/2026/CVE-2026-98432.mbox
JPCERT/CC: https://www.jpcert.or.jp/ ／ IPA: https://www.ipa.go.jp/

開示

この記事は、PHP の外部バージョン診断ツール phpcheck.jp を運営している筆者が書いています。phpcheck.jp はカーネルの脆弱性を診断するものではありません。この記事は Ubuntu・Red Hat・カーネルの公開情報だけをもとにしています。

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up