Linuxカーネルの重大なTCP脆弱性CVE-2026-98432：リモートからrootを奪取される恐れあり

【なぜ重要か】 Linuxカーネル4.4以降に存在するIPv4 TCP処理の脆弱性（CVE-2026-98432）は、カーネルCVEチームによりCVSS 9.8と評価されており、認証不要・ユーザー操作不要でリモートからroot権限を奪取できることがAnthropicの研究により実証されている。Go 1.24以降ではデフォルトでMPTCPリスナーが有効になるため、意図せず攻撃対象になりうるケースがある。インターネットに公開されているLinuxホストを運用している組織は、早急な対応が求められる。

【ポイント】

• 脆弱性の内容： TCPハンドシェイク中にカーネルがIPオプションを保持するリクエストソケットの解放処理に競合状態（use-after-free）が発生し、別CPUがそのメモリを読み取り中でも解放されてしまう。攻撃者はこれを利用してカーネルメモリの読み取り・破壊、またはシステムのクラッシュを引き起こせる。
• 実証済みのエクスプロイト： AnthropicのFrontier Red Teamは、ClaudeがMPTCPリスナーを持つLinuxサーバーに対してroot権限でコマンド実行するエクスプロイトを作成したと報告。カーネルアドレスのリークに48分、コマンド実行到達にさらに5分を要した。また、競合に負けてもシステムがクラッシュしないため、攻撃者は繰り返し試行が可能。
• 影響範囲： IPv4 TCPポートが攻撃者から到達可能なLinuxカーネル4.4以降の全ホスト。AWS上ではEC2・Lightsail・ECS on EC2・EKSノードが対象。AWS Lambdaは公開IPv4 TCPポートを持たないため影響なし。nginxやHAProxyなどのプロキシを同一ホスト上で動かしている場合も、そのホスト自体のカーネルにパッチが必要。
• 修正方法： パッチ済みカーネルのインストールと再起動が唯一の完全な修正手段。Amazon Linux 2/2023向けパッチは提供済み。EKSはAMIリリースv20261031以降へのアップデートが必要。Ubuntu・Red Hat（RHEL 8/9/10）はパッチが進行中または未提供。アップストリームの修正はLinux 5.10.272・5.15.223・6.1.190ほかに含まれる。
• 暫定対策（パッチ適用までの間）： MPTCPの無効化（net.mptcp.enabled=0）、IPオプションを含むIPv4パケットのiptablesによる破棄、別の独立したロードバランサーやマネージドサービスの背後への配置が有効だが、いずれもバグそのものを修正するものではなく、確実な保護にはならない。

【まとめ】 インターネットに公開されているLinuxホストに対してリモートroot奪取が実証済みの重大な脆弱性であり、特にGo 1.24以降を使用するサーバーはMPTCPが暗黙的に有効になりうる点に注意が必要。まず自社の全VM（コンテナノードや管理外ホストを含む）の影響有無を確認し、各ディストリビューションのベンダーアドバイザリに従ってパッチ済みカーネルをインストール後、速やかに再起動すること。