AnthropicのClaudeがLinuxカーネルの脆弱性を突くroot権限奪取エクスプロイトを自力で書いた
TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
LinuxのIPv4 TCPハンドシェイクに存在するuse-after-free、CVE-2026-98432はCVSS 9.8のCriticalと評価され、4.4以降のカーネルすべてに影響する。修正はわずか2行で、すでに各安定版に取り込まれているが、UbuntuやRHEL 8〜10、Amazon Linux 2などは10月29日時点で未修正のまま。報告者であるAnthropicのXinyang Geによれば、同社のClaudeが認証なしでroot権限のコマンドを実行する実証エクスプロイトを生成したという。
Anthropicによれば、競合に敗れても「ハンドシェイクが失敗するだけでシステム全体はクラッシュしないため、執念深い攻撃者は成功するまで無限に再試行できる」という。
HNでの議論
218- asveikau
> TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
HNではタイトルから余計な情報を削除するのが慣習なのは知っていますが、ここで「Linux」を削除するのは、有用で関連性のある情報を本当に失わせてしまいます。これはLinuxの脆弱性です。*BSDやMac、Windowsを使っているなら影響を受けません。
- peanut-walrus
これについて私が得たいくつかのメモ：
- MPTCPは必須ではなく、一般的なuse-after-freeです。
- インターネット経由での悪用は可能性が低いです。ほとんどのISPルーターはIPオプションフィールドを含むパケットをドロップします。
- 少なくともRed Hatによると、自分でIPオプション付きパケットをドロップすることは助けになりますが、完全な緩和策ではありません。
- 悪用に成功するにはパケットを処理する複数のCPUコアが必要なので、シングルコアのみのシステムやパケット処理が単一コアに固定されているシステムは影響を受けません。
- swinglock
UbuntuとRHELはなぜ修正されていないの？サーバー向けとしてこれ以上ないほど宣伝しているOSはほとんどないのに。あそこでは何をやっているんだ？
- teekert
サイバーセキュリティのRSSフィードのリストをまとめて、小さな自動化（Hermesエージェントの監督付き）を構築し、CVEが私の介入を必要とするとき（クライアントや自分のために運用しているサービスのリストと照合して）に通知（ntfy.shまたはTelegram）を受け取れるようにしています。
私の（フィードの）リストはまだ小さいですが、このCVEは表示されませんでした。この目的で使うRSSフィードについて何かヒントはありますか？
- grey-area
UbuntuやRed Hat向けのパッチはまだありません。
- Shank
少なくともロードバランサーの背後でAmazon Web Servicesを使っているなら、ハロウィンをパッチ適用で過ごすほど影響を受ける可能性はおそらく低いでしょう。
> AWS Web Application Firewall、Application Load Balancer、Classic Load Balancer、Network Load Balancer上のTLSリスナー、Cloud Front、API Gateway
> 上記のサービスをベストプラクティスに従って使用しているお客様は、信頼できないソースから直接TCP接続を受信することはありません。AWSはこれらのサービスの基盤インフラストラクチャに更新を適用しており、これらのサービスを使用している場合、お客様による即時の対応は必要ありません。ただし、これらのサービスの背後にある自己管理インスタンスを30日以内に更新することを引き続き推奨します。
[0]: https://aws.amazon.com/security/security-bulletins/2026-160-...
- 9cb14c1ec0
この脆弱性の津波にどうにかついていかなければならないことに、私だけが疲れ果てているわけではないでしょうね？
- winwang
大丈夫だよ、みんな。作者が良いCの書き方を知らないだけさ。本物のCプログラマーならこんな基本的なuse-after-freeバグを出荷したりしない。Rustはただの松葉杖に過ぎない。