Linux TCP脆弱性CVE-2026-98432、CVSS9.8の深刻度
原題: TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
なぜ重要か
CVSS 9.8で認証不要のroot権限奪取が可能な本脆弱性は、世界中のLinuxサーバーインフラに直接影響し、未パッチ環境では即時のリモート侵害リスクが存在する。
2026年10月15日、LinuxカーネルのIPv4 TCPハンドシェイクにおけるuse-after-free脆弱性「CVE-2026-98432」の修正版がアップストリームで公開された。CVSS 3.1スコアは9.8（Critical）で、認証不要のリモート攻撃者がroot権限でコマンドを実行できる。影響はLinux 4.4以降の全バージョンに及び、2026年10月31日時点でUbuntuとRHELは修正済みカーネルを未配布のままとなっている。
Linuxカーネルの安定版が2026年10月11日と15日にリリースした修正は、IPv4 TCPハンドシェイク内のuse-after-freeバグを対象としている。CVE番号は「CVE-2026-98432」、正式名称は「ipv4: free inet_opt and ireq_opt after an RCU grace period」。Linuxカーネル自身のCNA（CVE採番機関）がCVSS 3.1で9.8と評価しており、攻撃ベクターはネットワーク経由・認証不要・ユーザー操作不要という最悪の組み合わせだ。
バグの根は深く、Linux 4.4まで遡る。修正済みバージョンは5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、および7.3。アップストリームの修正自体はわずか4行の変更だが、大半のサーバーはディストリビューション独自のカーネルを使用しており、対応状況はまちまちだ。
2026年10月31日午後5時15分（CDT）時点で、UbuntuのトラッカーはすべてのリリースでKernelが「Vulnerable」のまま。Red HatはRHEL 8・9・10を影響ありとしつつ修正未提供だが、10月30日に評価をImportant（CVSS 8.1）からCritical（CVSS 9.8）に引き上げ、緩和策を公開した。一方、Debian・現行SUSE Enterprise・Oracle UEK・Amazon Linuxは修正済みカーネルを提供済みで、AlmaLinuxは修正版をテスト中とのこと。
この脆弱性を最初に報告したのはAnthropicの研究者で、同社のAIモデル「Claude」が動作する実証コード（PoC）を作成したと説明している。そのPoCは「multipath TCPリスナーが動作するLinuxサーバー」に対し、認証なしでroot権限コマンドを実行できるという。Go Security Teamによれば、GoプログラムはデフォルトでmultiPath TCPリスナーを開くため、攻撃が成立する環境は当初の想定より広範に存在する。
即時パッチ適用が困難な場合の緩和策として、IPv4オプションを持つTCPパケットをドロップするファイアウォールルールの適用、multipath TCPを使用していない場合は無効化、multipath TCPリスナーを持つホストの優先パッチ適用が推奨されている。この脆弱性はアプリケーション層よりも前、カーネルがIPv4 TCP接続を受理する段階で発動するため、どの用途のLinuxサーバーも影響を受け得る点が深刻だ。