CVE-2026-98432 は、Linux カーネルが TCP の接続要求を受け付ける処理にある脆弱性です。パスワードを持たないリモートの攻撃者が、サーバーをクラッシュさせたり、カーネルのメモリを破壊したりできます。Linux カーネルの CVE チームはこれを 10 点満点中 9.8 点と評価しており、Anthropic は自社のモデル Claude が、MPTCP 接続を受け付けるサーバーで攻撃者に root 権限を与えるエクスプロイトを書いたと述べています。修正はアップストリームのカーネルに入り、Debian も提供済みですが、2026年10月30日時点で Ubuntu は 22.04、24.04、26.04 の修正を "work in progress"（進行中）としており、Red Hat は RHEL 8、9、10 を影響ありかつアップデートなしとしています。アップデートが届くまでは、MPTCP が不要なら無効にし、IP オプションを含む IPv4 パケットをブロックし、サーバーに到達できる相手を制限し、再起動の予定を立ててください。

CVE-2026-98432 とは何か、なぜ自社に関係があるのか

公式の CVE レコードによると、この脆弱性は IPv4 の TCP ハンドシェイクが完了する瞬間にあります。カーネルは接続要求とともに保存された IP オプションを、コピーせずにそのまま新しい接続に渡します。そのとき別の CPU が重複した要求を処理し、同じオプションから応答を組み立てていることがあります。カーネルが先にそのメモリを解放すると、解放後にそれを読み取ることになり、これは use-after-free と呼ばれるバグです。この脆弱性はカーネル 4.4 から存在しています。カーネルの CVE チームは 2026年10月15日にこれを公表し、ネットワーク経由で、ハンドシェイク中かつログイン前に、ユーザーの操作なしで到達できることから、10 点満点中 9.8 点と評価しました。

Anthropic は 10月27日の記事で、認証情報を持たないリモートの攻撃者が、MPTCP（マルチパス TCP）接続を受け付ける Linux サーバー上で root としてコマンドを実行できるエクスプロイトを Claude が書いたと説明しました。同社のテストでは、エクスプロイトがカーネルメモリのアドレスを漏えいさせるまでに 48 分、そこからコマンド実行に至るまでに 5 分かかりました。さらに悪いことに、失敗した試行でサーバーはクラッシュせず、その接続が失敗するだけなので、攻撃者は誰にも気づかれずに何度でも試し続けられます。Anthropic はエクスプロイトそのものは公開していません。

Red Hat は主な影響をサーバーのクラッシュとサービス拒否とし、メモリ破壊の可能性もあるとしています。CISA の既知の悪用された脆弱性カタログの 10月30日版の時点では、この脆弱性はまだ追加されていませんでした。

お使いのディストリビューションにアップデートは届いたか

2026年10月30日時点で、各ディストリビューションの公式ページに表示されている状況は次のとおりです。

ディストリビューション状況
Ubuntu 22.04、24.04、26.04、26.10脆弱、修正は "work in progress"（進行中）、24.04 はカーネル 6.8.0-149 で対応（Ubuntu のページ）
Ubuntu 16.04、18.04、20.04脆弱
Red Hat Enterprise Linux 8、9、10影響あり、アップデート未提供（Red Hat のページ）
Red Hat Enterprise Linux 6、7影響なし
Debian 12、136.1.190-1 と 6.12.113-1 で修正済み（Debian のトラッカー）

アップストリームでは、修正はバージョン 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、7.3 で提供されました。ただしほとんどのサーバーはディストリビューションのカーネルで動いているため、重要なのはアップストリームのバージョン番号ではなく、お使いのディストリビューションのページです。

サーバーが危険にさらされているかを見分けるには

インターネットからの接続を受け付けるすべての Linux サーバーで、次のコマンドを実行してください。

uname -r
cat /proc/sys/net/mptcp/enabled
ss -Mln
cat /proc/sys/net/ipv4/tcp_migrate_req
  • 一つ目はカーネルのバージョンを表示します。お使いのディストリビューションのページと照らし合わせてください。たとえば Ubuntu 24.04 では、現在提供されているどのバージョンもまだ修正されていません。
  • 二つ目の結果が 1 なら MPTCP が有効になっており、カーネルのドキュメントによるとこれが既定値です。
  • 三つ目は MPTCP 接続を受け付けているサービスを一覧表示します。ここに表示されるサービスはどれも、Anthropic が悪用した種類の標的です。Go で書かれたプログラムには注意してください。Go 1.24 のリリースノートによると、そのリスナーはサポートされている環境では既定で MPTCP を使うようになりました。
  • 四つ目は 0 と表示されるはずです。CVE レコードによると、脆弱性の 二つ目の経路は値が 1 のときにしか機能しません。

アップデートが届くまでの一時的な対策：5 つのステップ

  1. お使いのディストリビューションに修正があれば、今すぐインストールして再起動する。 たとえば Debian 12 と 13 では次のとおりです。
    sudo apt update && sudo apt upgrade
sudo reboot
    新しいカーネルは、サーバーが実際にそれで動き出すまで保護してくれません。
  2. MPTCP を必要とするサービスがなければ無効にする。 これで Anthropic が悪用した種類の標的をふさげます。
    sudo sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" | sudo tee /etc/sysctl.d/99-disable-mptcp.conf
    一つ目のコマンドは設定をすぐに適用し、二つ目は再起動後も設定を保持します。カーネルのドキュメントによると、この設定はネットワーク名前空間ごとに有効なので、コンテナの中でも適用してください。Go のプログラムは、MPTCP が使えないときは自動的に通常の TCP に切り替わります。ただし、無効化で脆弱性そのものがなくなるとは Anthropic もどのディストリビューションも言っていないため、これはリスクを狭めるだけで、根本的な解決にはなりません。
  3. IPv4 オプションを含む TCP パケットをブロックする。 CVE レコードの評価シナリオは、IPv4 の Record Route または Timestamp オプションを付けた接続要求を送る攻撃者を想定しており、通常の Web、メール、SSH の通信にはこれらのオプションは必要ありません。IPv4 ヘッダーが 20 バイトを超える受信 TCP パケットを破棄するファイアウォールのルールをネットワーク管理者に依頼し、まず 1 台のサーバーで試してください。これで脆弱性を防げるとはどのディストリビューションも言っていませんが、評価が前提とする条件を取り除くことはできます。
  4. サーバーに到達できる相手を制限する。 この脆弱性には、接続を受け付ける開いた TCP ポートが必要です。不要なポートはすべて閉じ、SSH と管理画面には特定の IP アドレスからか VPN 経由でしかアクセスできないようにしてください。サイトが CDN のような中継サービスの背後にある場合は、オリジンサーバーがそのサービスのアドレスからの接続だけを受け付けるようにします。
  5. アップデートが届く前に準備しておく。 この CVE に関する Ubuntu と Red Hat のページを追い、カーネルのアップデートを事前に承認して再起動の時間枠を決めておけば、修正が出たその日に適用できます。ip_options_build に言及するクラッシュがないか、カーネルログを確認してください。
    sudo journalctl -k | grep -i ip_options_build
    ただし、失敗した試行ではサーバーはクラッシュしないため、ログが静かでも安全とは限りません。

サーバーをホスティング事業者に預けている場合は

共有ホスティングやマネージドサービスでは、カーネルを管理するのはあなたではなく事業者です。事業者には次の三点を尋ねてください。どのディストリビューションとどのカーネルバージョンでサーバーを動かしているか、いつ修正を適用するのか、それまでリスクを下げるために何をしているのか。仮想専用サーバー（VPS）では通常カーネルはあなたの管理下にあるので、上記の対策を自分で実施してください。

Origami の見解

PHP の脆弱性に関する記事でも書いたとおり、公式アップデートが遅れているとき、最初の数日間にサーバーを守るのは一時的な対策です。ただしそれはリスクを狭めるだけで、唯一の解決策は再起動後に修正済みのカーネルで動かすことです。Origami では、お客様の Linux サーバーを点検し、サービスを止めずに一時的な対策を施し、修正が出しだいすぐにインストールできます。お問い合わせください。

まとめ

  • CVE-2026-98432 は、カーネルチームが 10 点満点中 9.8 点と評価した Linux カーネルの脆弱性で、TCP ハンドシェイク中、ログイン前にリモートからサーバーを攻撃します。
  • Debian は修正を提供済みですが、Ubuntu と Red Hat は 2026年10月30日時点でまだ提供していません。
  • それまでは、MPTCP が不要なら無効にし、IPv4 オプションを含む TCP パケットをブロックし、使っていないポートを閉じてください。
  • 修正済みのカーネルが出たらすぐにインストールして再起動してください。一時的な対策はその代わりにはなりません。

出典