TCP

Linuxカーネル脆弱性 CVE-2026-98432：ネットワーク越しに突かれうるTCPの欠陥（CVSS 9.8）。修正版を入れて再起動し、MPTCPも確認

CVE-2026-98432は、LinuxカーネルのIPv4 TCP処理にある解放後使用（use-after-free）の脆弱性で、2026年10月15日に公表されました。カーネル開発チームの採番機関はCVSS v3.1で9.8（ネットワーク越し、権限不要、利用者の操作不要）と評価しています。AI企業の研究チームが、Multipath TCP（MPTCP）で待ち受けるサーバーに対し、実験環境でroot権限のリモートコード実行を実演したと報じられています（同社自身の報告にもとづき、報道機関は検証していません）。BleepingComputerは、MPTCPを使わないTCPサーバーでのリモートコード実行は公には示されておらず、実際の攻撃も確認されていないと伝えています。当サイトは11月1日時点で、米CISAのKEVにこのCVEが載っていないことを確認しました。上流の修正は5.10.272・5.15.223・6.1.190・6.6.159・6.12.113・6.18.56・7.2.10以降で、11月1日時点でDebianは修正版を出し、SUSEは一部を出し、UbuntuとRed Hatは修正を準備中としています。MPTCPを止めるだけでは完全な対策になりません。当サイトの結論：インターネットに公開したLinuxサーバーから、修正版が出た順に更新して再起動し、それまでは配布元の一時しのぎを使ってください。