Linuxの重大な弱点。アプリの更新とは別に、何を確認する？

どんな機能？ 名前を知らなくても、使っているかも。

Linuxは、サーバーなどを動かすOS（オーエス、基本ソフト）です。カーネルは、その中心で通信やメモリー、機器を扱う部分。PHP（ピー・エイチ・ピー）や予約アプリなどの更新とは、確認する部品と担当が異なります。RHEL（レル、Red Hat Enterprise Linux）やUbuntu（ウブントゥ）という配布元・製品名も、更新先を選ぶ手掛かりになります。

たとえば、予約フォームを直しても、そのフォームを動かすサーバーの基本ソフトが同じ状態で残る場面です。これは仕組みを理解するための架空例で、特定の店舗や顧客の被害ではありません。クラウドやレンタルサーバーでも、自社・保守会社・提供会社の誰がOSを更新する契約かを確認します。

何が起きるおそれがある？

CVE-2026-98432（シー・ブイ・イー、弱点の識別番号）は、IPv4（アイピーブイフォー、ネット通信の方式）のTCP（ティーシーピー、通信の接続・データ交換の仕組み）処理に関係します。同時に進む処理のタイミングが重なると、使い終えたはずのメモリーを別の処理が参照してしまう問題です。Red Hatは、ログインしていない相手によるメモリー破損やサーバー停止、条件によって不正な命令実行につながるおそれを説明しています。命令実行には精密な条件が必要で、アクセスすれば必ず乗っ取れるという意味ではありません。

Linuxの公開CVE記録とRed HatはCVSS3.1で9.8・Critical（クリティカル、重大）と評価しています。UbuntuもCVSS3.1は9.8ですが、同社の対応優先度はHigh（ハイ、高）、CVSS4.0は8.3・Highです。Red Hatの点数は確認時点の暫定評価です。尺度と評価元を混ぜず、自社の被害確率とも扱いません。外部からのIPv4 TCP接続を受ける構成は特に確認が必要です。実悪用は今回未確認で、照合したCISA KEV（シーサ・ケブ、既知悪用一覧）にも登録はありません。未登録は安全や攻撃不存在の証明ではありません。

対象と、修正を分けて確認する。

影響するバージョン・条件

Red Hatの詳細案内はRHEL 8・9・10とOpenShift Container Platform、RHELのカーネルを使う関連製品を対象に挙げています。Ubuntuでは、たとえばlinuxパッケージの22.04 LTS・24.04 LTSに「Vulnerable work in progress」（対象で、修正を作業中）の表示があります。同じOS名でも、クラウド向け・HWE（エイチダブリューイー、新しい機器向け）などのパッケージ系列で状態が違います。担当者が、配布元、OS版、パッケージ名、稼働中の版と接続範囲を組にして原表と照合してください。

修正版・更新先

上流のLinux公開CVE記録には、5.15系列なら5.15.223、6.1系列なら6.1.190などの修正境界が載っています。これは、利用中のRHEL・Ubuntuへその番号を直接入れる案内ではありません。配布元は独自のパッケージに修正を取り込むことがあるため、その製品・系列の正式な更新案内を確認します。Red Hatは修正を急いでいると案内し、Ubuntuの前述の行は確認時点で作業中でした。作業中の欄に版番号があっても提供済み・適用済みとは扱いません。確認後に提供状況は変わるため、担当者が最新の修正済みパッケージと互換性を再照合します。

あわせて知っておきたいこと

Red Hatは、特定のIPv4オプションを含む通信のフィルターで影響範囲を減らす暫定策を案内しています。ただし、完全には防げず、必要な業務通信を妨げる場合があります。一般のTCPオプションと同じものではなく、初心者が通信全体を止める設定へ置き換えないでください。採否・検証・解除はネットワークとOSの専門担当に依頼します。アプリ向けのWAF（ワフ、Web通信を調べる防御）やPHPだけの更新で、このOS側の修正が済んだとは扱いません。

確認日以降に、新しい修正や案内が出る場合があります。適用時は保守担当者が最新の公式情報と照合してください。

担当者と、何から進める？

1. 01

   更新の担当と、実際に動くOS・カーネルを確認する

   HP制作会社のほかに、サーバー会社やOS保守の窓口がないか確認します。製品・OS版・パッケージ系列・稼働版・外部からの接続範囲を照合し、対象判断の根拠と次の確認日を記録。経営者が攻撃用の通信を送って試す必要はありません。

2. 02

   修正の提供待ちと、暫定策の採否を分ける

   対応済み・修正を作業中・対象外のどれかを配布元の表で確認。すぐ更新できなければ、公式の限定的な緩和策、接続範囲の見直し、代替業務や停止の要否を責任者と専門担当が判断します。全国・全システム一律の停止や、国別制限だけで安全とする案内ではありません。

3. 03

   バックアップ、停止予定、戻し方をそろえる

   一般的な準備として、データ・設定・起動のための情報を控え、別環境で戻せるか確認します。不審な動きがある場合は変更前にログなどの記録を保全し、侵害調査の担当へ相談。修正の取り込み方、再起動などの反映方法、必要な停止時間・工数・費用は環境別に決めます。

4. 04

   更新の反映と、仕事の操作を両方確かめる

   ファイルを入れた版と、いま動くカーネルが対応しているかを担当者が確認します。個人情報を使わない別環境で、HP表示、ログイン、問い合わせ・予約の保存や通知、必要な通信を検証。本番へ実問い合わせ・実予約を送らず、再開条件と問題時の復旧を確認します。脆弱な旧版に戻すだけを安全な復旧とは扱いません。

保守会社に、このまま聞けます。

【Linuxカーネルの更新と業務継続の確認依頼】 CVE-2026-98432について、当社のサーバーが対象か確認してください。 1. OSの更新担当・配布元・OS版・カーネルのパッケージ系列と稼働版 2. IPv4 TCPの接続範囲と、対象／対象外を判断した公式の根拠 3. 正式な修正パッケージの提供状況、未提供なら再確認日と暫定策の可否・副作用 4. バックアップと復元、必要なら更新前の記録保全・侵害調査の担当 5. 別環境での業務テスト、反映方法、停止予定・工数・費用 6. 再開条件、問題が起きた場合の戻し方、適用後の稼働版確認 ※パスワード・秘密鍵・顧客データ・非公開のサーバー設定は一般の相談フォームへ送らないでください。

停止時間・費用・戻し方まで含む確認文をコピーする →