10 月 15 日、Linux の中核部分（）に深刻な脆弱性 CVE-2026-98432 が公表されました。10 月 27 日には、発見した Anthropic が「ログイン不要のまま、ネットワーク越しにサーバーの管理者権限を奪えた」と発表しています。ただし、攻撃の手順や検証用のコードは公開されていません。
1 週間前には、PHP の脆弱性 PHP2Shell が実際の攻撃に使われ、対応に追われた会社も多いと思います。今回も同じ対応でよいのか、どこまで急ぐべきなのか。公表された事実とまだ分からないことを分け、起こりうる攻撃と影響、PHP2Shell との違い、今やることの順に見ていきます。
今回の脆弱性は、PHP や WordPress のようなアプリの部品ではなく、Linux そのものの通信処理にあります。インターネットから接続を受けるサーバーなら、どんなアプリを動かしているかに関係なく対象になりえます。悪用されると、Web サーバーの権限で止まった PHP2Shell と違い、最初から管理者（root）の権限を取られます。修正はカーネルの更新で、多くの場合は再起動も要ります。Red Hat は通信の一部を止める回避策を出していますが、更新の代わりにはならないとしています。使っている Linux の配布元から修正版が出たら、外向きのサーバーから順に入れてください。
この記事の要約
公表された情報で分かっていること
Linux カーネルの開発チーム、Ubuntu や Red Hat などの配布元、Anthropic の公開ページで確かめた内容は次のとおりです。
| 項目 | 内容 |
|---|---|
| 脆弱性の番号 | CVE-2026-98432（2026 年 10 月 15 日公表） |
| 場所 | Linux カーネルのうち、IPv4 の TCP 接続を受け付ける処理 |
| 不具合の種類 | 。接続を受け付ける途中の 2 つの処理が、わずかな時間差で競り合うと起きる。 |
| 攻撃の条件 | ログインは不要。インターネットから TCP の接続を受けているサーバーに、細工した接続要求を送り続ける。 |
| 対象の版 | Linux 4.4 以降で、修正版より前のもの。2016 年ごろ以降のカーネルが広く含まれる。 |
| 深刻度 | Linux カーネル開発チームと Red Hat の評価は 10 点中 9.8。SUSE・Oracle・Amazon は 8.1 と少し低く見ている。 |
| 修正 | 10 月 5 日に修正が入り、6.12.113、6.18.56 など各系統の修正版が出ている |
| 実際の攻撃 | 10 月 30 日時点で報告なし。米 CISA の悪用確認リストにも載っていない。 |
表の深刻度の列で評価が割れているのは、攻撃の難しさの見方が違うためです。SUSE などは「時間差の競り合いに勝つ必要があり、狙って起こすのは難しい」と見て点を下げています。一方で Linux カーネルの開発チームは「競り合いは攻撃者が何度でも起こせる」として、難しくないと判断しました。
Anthropic の発表も、開発チームの見方に近い内容です。Anthropic は未公開の研究用 AI モデルを使ってこの脆弱性を見つけ、実際に root でコマンドを動かすところまで確かめました。検証では、メモリの位置を探り当てるまでに約 48 分、そこからコマンドの実行までに約 5 分かかったと書かれています。競り合いに負けても接続が 1 回失敗するだけで、サーバーは落ちません。攻撃する側は何度でもやり直せることになります。
まだ公開されていないこと
Anthropic は、脆弱性を見つけたときの公開の決まりとして、修正が出てからさらに 45 日間は、公表済みの情報を超える詳細を話さないとしています。今回の発表も攻撃の大まかな流れにとどまり、検証用のコードや手順は出ていません。ほかにも、次の点はまだ分かっていません。
- 攻撃されたかどうかを見分ける手がかり（ログに何が残るか）
- Ubuntu と Red Hat Enterprise Linux の修正版がいつ出るか。10 月 30 日時点で、Ubuntu は 22.04 から 26.10 まで準備中、Red Hat は 8・9・10 が対象で修正版は未公開（Red Hat は修正を急いでいるとしている）
- IPv6 側にある似た問題の詳細。別の修正で対応するとだけ書かれている。
Anthropic の検証は、という機能を有効にしたサーバーで行われました。ただし、CVE の説明と修正の内容には MPTCP の名前は出てきません。普通の IPv4 の TCP 接続でも起きる不具合として説明されています。「MPTCP を使っていないから大丈夫」とは言い切れない点に注意してください。
どんな攻撃が起こりそうか、影響はどこまで及ぶか
ここからは、公表された事実をもとにした私たちの見立てです。詳細が出ていない以上、外れる可能性もあります。
攻撃の手順は遠からず広まる
手順は伏せられていますが、修正のプログラムそのものは誰でも読めます。修正の前後を比べれば、どこに不具合があったかは分かります。これまでも、修正の公開から数週間で攻撃コードが出回った例は珍しくありません。今回は、AI が見つけて攻撃まで組み立てられたことが示されました。攻撃する側が同じことを AI で試すことも考えられます。45 日が過ぎる前に攻撃の手口が出回ると考えて、準備したほうが安全です。
狙われるのは「外から接続できる Linux」すべて
この脆弱性は、どのアプリを動かしているかに関係なく、TCP の接続を受け付ける段階で起きます。Web サーバー、メールサーバー、遠隔操作用の SSH、社外から入る VPN の入口など、外から接続できる Linux サーバーは対象になりえます。社内だけで使うサーバーでも、社内のパソコンが 1 台乗っ取られれば、攻撃者はそのパソコンから狙えます。
Linux が入っていると意識していない機器も対象になりえます。ネットワーク接続のファイルサーバー（NAS）、ルーター、防犯カメラの録画機、複合機などは、中身が Linux であることが多くあります。どの版のカーネルを使っているか、いつ修正版を出すかは、機器のメーカーによって違います。こうした機器は更新が後回しになりがちなので、サーバーと同じ一覧に入れてください。
取られるのは管理者の権限
攻撃が成功すると、サーバーの管理者（root）としてコマンドを実行されます。保存されたデータの持ち出し、パスワードや API キーの盗み出し、ほかのサーバーへの足がかりづくり、ランサムウェアの設置まで、管理者ができる操作はほぼ何でもできる状態になります。クラウドやレンタルサーバーでは、サービスの形によって、カーネルを更新するのが自社か事業者かが違います。
PHP2Shell とは何が違うのか
PHP2Shell は、10 月 21 日に修正版が出た PHP の脆弱性 2 件（CVE-2026-109618、CVE-2026-109619）の通称です。細工したファイル送信でメモリを使い切らせ、PHP を動かしている処理に後片付けをさせないまま、次の要求でプログラムを動かす手口でした。修正版の公開前から攻撃の試みがあり、10 月 26 日には CISA が悪用確認リストに加えています。2 つを並べると、次のように違います。
| 比べる点 | PHP2Shell | 今回の Linux の脆弱性 |
|---|---|---|
| 不具合のある場所 | PHP（Web アプリを動かす部品） | Linux カーネル（OS の中核） |
| 対象になるサーバー | PHP で Web サイトを動かしているサーバー | 外から TCP の接続を受ける Linux サーバー全般 |
| 攻撃の入口 | Web サイトへの細工したファイル送信 | 細工した接続要求。Web サイトが無くても狙える。 |
| 取られる権限 | PHP を動かしているユーザーの権限。管理者権限には、通常は別の脆弱性や設定の不備が要る。 | 最初から管理者（root） |
| 実際の攻撃 | 確認済み（10 月 26 日に CISA が追加） | 10 月 30 日時点で報告なし |
| 当面の回避策 | PHP の設定変更で一部を防げる | Red Hat が通信の一部を止める回避策を公開。更新の代わりにはならない。 |
| 直し方 | PHP を更新し、PHP を動かしている処理を再起動 | カーネルを更新。多くの場合はサーバーの再起動も要る。 |
2 つの一番の違いは、取られる権限です。PHP2Shell で乗っ取れるのは、Web サイトを動かしているユーザーの権限までです。管理者になるには、通常は別の脆弱性や設定の不備が要ります。実際に CISA は 10 月 28 日、Linux の別の脆弱性 CVE-2026-46300 を悪用確認リストに加え、PHP2Shell と組み合わせて root を奪う使い方を警告しました。PHP2Shell は 2 段階の攻撃の 1 段目でした。今回の脆弱性は、その 2 段を 1 回で済ませてしまいます。
もう 1 つの違いは、対象の広さです。PHP2Shell は PHP を使う Web サイトの問題で、PHP を使っていない会社は対象外でした。今回は、外につながる Linux サーバーがあれば、その上で何を動かしていても対象になりえます。一方で、実際の攻撃がまだ確認されていない分、PHP2Shell のときより準備の時間はあります。その時間で、攻撃が始まる前に更新を終えることが目標です。
被害を小さくする考え方も変わります。PHP2Shell のときは、Web サイトを動かすユーザーの権限を絞っておけば、侵入されても被害を一部にとどめられました（root を持たせない設計の記事で詳しく書いています）。今回は入口で root を取られるので、権限を絞る守りは役に立ちません。代わりに、外から接続できるサーバーの台数と、開けている入口の数を減らしておくことが被害を防ぐ手になります。
今やること
修正版が出ていない Linux もあるため、今週できることと、修正版が出たらすぐやることに分けて考えてください。
- 外から接続できる Linux サーバーと機器を一覧にし、カーネルの版を確かめる。クラウドの仮想サーバー、レンタルサーバー、NAS やルーターも含める。
- 使っている Linux の配布元のページで、修正版が出ているかを確かめる。Debian、Oracle Linux、Amazon Linux 2 と 2023 はすでに出ている。
- 修正版が出ているものは、外向きのサーバーから順に更新して再起動する。カーネルは更新しただけでは切り替わらない。
- Red Hat Enterprise Linux を使っている場合は、Red Hat の告知（RHSB-2026-016）にある回避策を検証用の環境で試してから入れる。付きの TCP の通信を落とす設定で、通常の通信には影響しにくいが、使っている業務によっては止まるものがある。
- 修正版を待つ間は、使っていない入口を閉じ、管理用の接続は接続元を絞る。外に見せるサーバーを減らすほど、狙われる場所が減る。
- PHP2Shell の修正（PHP 8.2.35、8.3.36、8.4.27、8.5.12 以降）と、CVE-2026-46300 の修正が済んでいるかもあわせて確かめる
レンタルサーバーやクラウドの管理サービスを使っている場合、カーネルの更新は事業者が行うことがあります。自社で触れる範囲を契約内容で確かめ、事業者の告知を見ておくと安心です。更新が止まりがちなサーバーをどう回すかは古いまま動いているものの記事に、外に出す機能を減らす考え方は専用 OS の記事にまとめています。
今回のように AI が攻撃の形まで組み立てられるなら、修正から攻撃までの間は短くなると私たちは考えています（中身の見えないソフトも AI が調べられるという記事も参考にしてください）。修正版が出た日に入れられるよう、手順を今のうちに用意しておいてください。
サーバーの棚卸しと更新の進め方から、ご一緒します
たとえば「社内にどの Linux サーバーや機器があるか分からない」「更新したいが、止めてよい時間を決められない」といった場面で、外から接続できるサーバーの洗い出し、更新と再起動の手順づくり、外に出す入口を減らす構成の見直しまでご支援しています。