Ubuntu、深刻なLinux RCEを3週間放置
原題: Ubuntu still has not released patch for Linux 0day RCE in almost 3 weeks
なぜ重要か
CVSS 9.8 のカーネル RCE が3週間放置されている事実は、LTS を本番環境の柱とする企業・クラウド事業者にとって運用判断を迫る重大局面だ。
2026年10月31日時点で、Ubuntu は CVSS 9.8 の深刻な脆弱性 CVE-2026-98432 に対するパッチを、LTS リリースである 22.04・24.04・26.04 のいずれにも提供していない。発覚から約3週間が経過しているにもかかわらず、修正済みカーネルパッケージは未公開で、修正時期の見通しも示されていない。
CVE-2026-98432 は Linux カーネルに存在するリモートコード実行（RCE）の脆弱性で、共通脆弱性評価システム（CVSS）スコアは最高水準に近い 9.8 を記録している。Ubuntu は主要な LTS リリース（22.04、24.04、26.04）向けに修正済みカーネルをいまだ提供しておらず、これらのバージョンを使用するシステムは依然として攻撃にさらされた状態にある。
影響が特に大きいのは、インターネットに直接接続されている環境や、複数テナントが同居するセルフホスト型システムだ。こうした環境では、カーネルが提供するプロセス隔離や権限境界が安全性の根幹を担っており、パッチ未適用のまま稼働を続けることはリスクが高い。
Ubuntu は修正パッケージの提供時期についても公式な見通しを発表していない。影響を受けるシステム管理者は現時点で、既存のカーネルを使い続けるか、ツリー外（out-of-tree）の緩和策が存在するならそれを適用するか、あるいはすでにパッチが当たったカーネルを持つ別ディストリビューションやリリースへワークロードを移行するかを、自己判断で選択しなければならない状況に置かれている。
freenode の報告によると、この状態は約3週間続いており、ベンダーからの公式コメントや ETA（修正予定日）は報告時点で存在しない。