対象：Linuxサーバー、とくにインターネットに公開したサーバーを運用している人と、Go言語でネットワークサービスを作っている人。本記事はNVDのCVE情報、Debian・Ubuntu・Red Hat・SUSEの各ページ、Go言語の開発チームのセキュリティチームの案内、BleepingComputerの報道にもとづく解説で、攻撃手順やコードは扱いません。
進行中：新しい発表があればこの記事を更新します
- 対象者
Linuxサーバー、とくにインターネットに公開したサーバーを運用している人と、Go言語でネットワークサービスを作っている人。
- 影響が確認された範囲表で見る ↓
- 欠陥の存在
- 上流の修正版
- Debianの修正版
- 未確認事項
- UbuntuとRed Hatの修正版カーネル
- MPTCPを使わないサーバーでリモートコード実行が可能か
- 実際の攻撃の有無
さらに1件
- NVD自身の評価（状態は「受領」）
- 今やること手順を見る ↓
- 外からIPv4のTCPで接続を受けるLinuxサーバーを洗い出す
- 修正版があるものから入れる
- 再起動して、動いているカーネルを確かめる
さらに2件
- 修正版がまだないなら、配布元の一時しのぎと公開範囲の絞り込み
- MPTCPで待ち受けているサービス（Goのプログラム含む）を探す
- 確認先（出典）出典の一覧 ↓
- NVD「CVE-2026-98432」
- 最終確認日時
- 2026年11月1日時点
発表の続報予定と確認の記録
Red Hatの案内は状態を「進行中」とし、修正を急いでいると書いています。Ubuntuは修正を準備中としています。Debianは修正版のカーネルを出しています。
今日やること
外からIPv4のTCPで接続を受けるLinuxサーバーを洗い出す
インターネットに公開したLinuxは、コンテナのホストや仮想マシンも含め、ほぼすべて対象です。CVE情報の評価は、アカウントも利用者の操作も要らない攻撃（CVSS v3.1で9.8）とされているため、インターネットから届くサーバーを最優先にします（当サイトの判断）。
修正版があるものから入れる
Debianはbookwormで6.1.190-1、trixieで6.12.113-1（セキュリティ更新）です。SUSEは、ストリームによって提供済みと準備中があるので、SUSEのページで使っている製品を確かめます。UbuntuとRed Hatは、出典のページを見張ってください。11月1日時点では修正版のカーネルが載っていませんでした。
再起動して、動いているカーネルを確かめる
再起動のあとで uname -r を実行します。入れただけで動いていないカーネルは守ってくれません。配布元のライブパッチがこのCVEに対応するなら、それでも構いませんが、先に配布元のページで確かめてください。SUSEは、ほとんどのストリームでライブパッチを準備中としています。
修正版がまだないなら、配布元の一時しのぎと公開範囲の絞り込み
Red Hatは、IPオプション付きのIPv4 TCPパケットを受信時に捨てるフィルターを挙げ、露出は減らせるが修正の代わりにはならないとしています。先に試験し、カーネルを直したら外します。BleepingComputerが挙げる対策として、できる範囲で信頼できるネットワークやIPアドレスだけに公開を絞る方法があります。
MPTCPで待ち受けているサービス（Goのプログラム含む）を探す
Go言語の開発チームのセキュリティチームによると、Go 1.24以降はLinuxの待ち受けでMPTCPが既定で有効なので、誰も選んでいなくてもGoのサービスがMPTCPを使っていることがあります。プログラムごとに止める方法は壊れやすく、いちばんの対策は修正版のカーネルだと同チームは説明しています。これは代わりではなく、追加の手段として行います。
修正版のカーネルあり
Debian 12・13、SUSEの一部の製品。入れて再起動し、uname -r で確認
修正は準備中
Ubuntu、RHELと関連製品。配布元の一時しのぎと公開範囲の絞り込み
あわせて確認
MPTCPの待ち受け（Go 1.24以降のサービスを含む）
修正版の一覧
| カーネルの系統 | 影響を受けなくなる版 | 発表元 |
|---|---|---|
| 5.10 | 5.10.272 | NVDのCVE情報（カーネルの採番機関） |
| 5.15 | 5.15.223 | 同上 |
| 6.1 | 6.1.190 | 同上 |
| 6.6 | 6.6.159 | 同上 |
| 6.12 | 6.12.113 | 同上 |
| 6.18 | 6.18.56 | 同上 |
| 7.2 | 7.2.10 | 同上 |
| 7.3以降 | 元の修正で対応済み（Debianは上流の7.3-rc7） | NVD、Debian |
NVDによると影響範囲はカーネル4.4までさかのぼります。系統ごとに修正された版が違うので、上流の番号ではなく、配布元のパッケージの版で判断してください。
| 配布元 | 2026年11月1日時点の状態 |
|---|---|
| Debian 12（bookworm） | 修正済み：6.1.190-1（セキュリティ更新） |
| Debian 13（trixie） | 修正済み：6.12.113-1（セキュリティ更新） |
| Debian testing・unstable | 修正済み：7.2.12-1、7.2.14-1 |
| Ubuntu 26.10・26.04 LTS・24.04 LTS・22.04 LTS | 影響あり、修正は準備中 |
| Ubuntu 20.04・18.04・16.04 | 影響あり、版の記載なし |
| Ubuntu 14.04 | 影響なし |
| RHEL 8・9・10、OpenShift | 影響あり。Red Hatのページに修正版の記載なし。案内の状態は「進行中」 |
| SUSE Linux Enterprise Server 16.0、15 SP4〜SP6 LTSS、Micro 5.4・5.5・6.2 | 修正版を提供済み |
| SUSE Linux Enterprise Server 15 SP7、ライブパッチのほとんどのストリーム | 準備中 |
| SUSE Linux Enterprise Server 12 SP5、Micro 6.0・6.1 | 影響あり |
SUSEは自社ページの内容が未完成または古い場合があるとしています。Red Hatは、RHELのカーネルを使う製品（RHEL CoreOS・OpenStack Platform・Virtualizationなど）も影響を受けるおそれがあるとしています。クラウドや機器など、ほかの提供元のカーネルは、それぞれの予定で修正が出ます。
何が公表されたのか
- CVE
- CVE-2026-98432。2026年10月15日公表。NVDの状態は「受領」、最終更新は10月31日
- 種類
- 解放後使用（CVE情報にCWEの記載なし）
- 深刻度
- カーネルの採番機関がCVSS v3.1で9.8（AV:N/AC:L/PR:N/UI:N）。Ubuntuは「高」で9.8。Red Hatは「Critical」（CVEのページでは暫定9.8）。SUSEは「重要」で8.1（攻撃の複雑さを「高」と評価）
- 場所
- カーネルのIPv4 TCP処理。IPオプションの構造体（
inet_opt・ireq_opt）を、読み手を待たずに解放しており、ip_options_build()で解放後使用になる。要求ソケットの移し替えでの同種の問題も直された - きっかけ
- Debianのトラッカーによると、再送されたSYNが子ソケットの作成と重なり、解放後のオプションを読む場合がある。主な問題はIPv6には影響しない
- 修正
- これらの構造体を、RCUの猶予期間のあとに解放する（
kfree_rcu()）。NVDは安定版の8つのコミットを挙げている - 悪用
- 確認した範囲で、実際の攻撃は確認されていない。11月1日時点でCISAのKEVには未登録
やさしく言うと、接続のオプションを入れたメモリを、ほかの処理がまだ読めるうちにカーネルが手放していました。手放したメモリは別の用途に再利用されることがあり、そこを読んでしまう欠陥は、クラッシュや、カーネルの権限でのコード実行につながりえます。
Red Hatは主な影響を、システムのクラッシュによるサービス拒否（DoS）か、メモリ破壊の可能性としています。CVEのページは、Criticalとした理由を次のように説明しています。認証のない遠隔の相手が、標準的なIPv4 TCP通信でカーネルのメモリを壊したり、即座にクラッシュさせたりでき、確実なコード実行にはメモリの精密な制御が要る、という内容です。BleepingComputerは、Red Hatがサービス拒否の可能性として5.9と評価したと伝えていますが、当サイトが11月1日に確認したRed Hatのページはいずれも、Criticalと暫定の9.8でした。評価は出典ごとに違い、変わることもあるので、使っている製品のページを確かめてください。
MPTCPでの実演とAIの観点
BleepingComputerは10月30日、AI企業の研究チームが、MPTCPで待ち受けるLinuxサーバーに対し、実験環境でroot権限のリモートコード実行を実演したと報じました（同社自身の報告にもとづくもので、報道機関は検証していません）。攻撃コードは、その企業の未公開のAIモデルが作ったとされています。Go言語の開発チームのセキュリティチームも、10月29日にoss-securityのメーリングリストへ転送された案内で、MPTCPで待ち受けるサーバーでリモートコード実行が示されたこと、そしてこの欠陥はMPTCPに限らないことを述べています。当サイトは実演そのものを確認しておらず、リンクも載せません。
BleepingComputerの記述にもとづく、示されていること・示されていないことは次のとおりです。
- 実演されたコード実行にはMPTCPの待ち受けが必要だった
- MPTCPの待ち受けがないサーバーでのリモートコード実行は、公には示されていない
- 報道の時点で、実際の攻撃は確認されていない
MPTCPはカーネルでは任意の機能ですが、Go言語の開発チームのセキュリティチームによると、Go 1.24以降はLinuxの待ち受けで既定で有効になります。Goでネットワークサービスを作っている場合は、自分のサービスの待ち受けを確かめてください。
守る側の教訓は速さです。公開された修正からAIが動く攻撃コードを作れるなら、修正が公になってから攻撃が可能になるまでの時間は、これまでより短くなるかもしれません（当サイトの判断）。次の定期メンテナンスを待たず、配布元の最初の修正版で更新する理由になります。
分かっていること・分かっていないこと
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 欠陥の存在 | IPv4 TCPでのIPオプションの解放後使用。カーネルの採番機関がCVSS 9.8、Ubuntuは「高」の9.8、Red Hatは「Critical」（暫定）、SUSEは8.1 | 確定（カーネルの採番機関、NVD、各配布元） |
| 上流の修正版 | 5.10.272から7.2.10まで（上の表） | 確定（NVDのCVE情報） |
| Debianの修正版 | 6.1.190-1と6.12.113-1 | 確定（Debianトラッカー） |
| UbuntuとRed Hatの修正版 | 確認したページには未掲載 | 調査中（各配布元は準備中） |
| MPTCPの待ち受けでのリモートコード実行 | AI企業の研究チームが実験環境で実演したと報じられている（同社自身の報告） | 報告あり（BleepingComputer、Go言語の開発チームのセキュリティチーム） |
| MPTCPのない環境でのリモートコード実行 | 公には示されていない。Go言語の開発チームのセキュリティチームは似た攻撃の可能性を警告 | 調査中 |
| 実際の攻撃 | 確認されていない。11月1日時点でCISAのKEVには未登録 | 調査中 |
| NVD自身の評価 | 未付与（状態は「受領」） | 調査中 |
出典
2026年11月1日に確認しました。
- NVD「CVE-2026-98432」 — nvd.nist.gov
- Debianセキュリティトラッカー — security-tracker.debian.org
- Ubuntu — ubuntu.com
- Red Hat 案内RHSB-2026-016 — access.redhat.com ／ CVEのページ — access.redhat.com
- SUSE — suse.com
- Go言語の開発チームのセキュリティチームの案内（2026年10月29日、oss-securityに転送、英語） — openwall.com
- BleepingComputer「Critical Linux kernel flaw allows remote root attacks on MPTCP servers」（2026年10月30日、英語） — bleepingcomputer.com
- 米CISA 悪用が確認された脆弱性の一覧（11月1日にこのCVEの有無を確認） — cisa.gov
更新履歴
2026-11-01：初版。11月1日時点のNVD、Debian・Ubuntu・Red Hat・SUSEの各ページ、Go言語の開発チームのセキュリティチームの案内、BleepingComputerの報道にもとづく。
次に読む
- 最近の悪用されているカーネルの脆弱性：Linuxカーネル脆弱性 Fragnesia（CVE-2026-46300）
- 優先順位の決め方：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 実際に直す：脆弱性が公表されたときの対応手順
- 攻撃にAIが使われるとき：AIを使ったサイバー攻撃の対策
- 用語：RCE（リモートコード実行）とは ／ CVSSとは