Ubuntu、CVSS9.8の脆弱性を2週間以上放置
原題: WTF Ubuntu?
なぜ重要か
有料セキュリティサポートを売りにするCanonicalへの信頼が揺らぐ今回の件は、エンタープライズ向けLinux市場全体のパッチ管理の信頼性に問い直しを迫る。
2026年11月2日時点で、Linux kernelのTCP処理に存在するCVSS9.8の重大脆弱性CVE-2026-98432について、DebianやArch、Alpineなどが修正済みであるにもかかわらず、Canonicalが開発するUbuntuは全サポート対象リリースで「脆弱」のまま。Anthropicが実際に動作するroot奪取のexploitを構築したと報告しており、被害が現実的なリスクとなっている。
CVE-2026-98432は2016年からLinux kernelのTCPコードに潜む脆弱性で、リモートから悪用可能かつroot権限の完全奪取につながるとされる。AnthropicはこのCVEに対して実際に動作するexploitを開発・検証したと発表しており、深刻度は最高水準のCVSS 9.8に評価されている。
Debianは10月16日に修正パッチを配布済み。Arch LinuxやAlpine Linuxといったボランティア主体のディストリビューションも既に対応を完了している。一方、セキュリティサブスクリプションサービス「Ubuntu Pro」を有料提供するCanonicalのUbuntuは、CVSS 9.8評定から9日、exploitの確認から6日が経過した11月2日14時48分UTC時点でも全サポート対象バージョンが「Vulnerable」のままだった。
Ubuntuの公式ウェブサイトは「重大な脆弱性への迅速なパッチ提供」を明示的に約束しているが、今回の対応速度はその主張と大きく乖離している。
ブログ著者は「サーバーをすべてUbuntuから移行する」と宣言。移行作業が間に合わず、Ubuntuで動くサーバーをいったんオフラインにせざるを得なかったと述べた。「エンタープライズグレード」「プロダクショングレード」「自信を持って構築を」といったCanonicalのマーケティング文言を厳しく批判し、「言葉が何も意味をなしていない」と断じた。
この投稿はネット上で拡散し、Ubuntu離れを検討するエンジニアの声が相次いでいる。