Debianが修正済みなのに、Ubuntuは9日間放置——CVSS 9.8のLinuxカーネル脆弱性
WTF Ubuntu?
LinuxカーネルのTCPコードに2016年から潜むCVSS 9.8の脆弱性CVE-2026-98432。Anthropicがroot権限を奪取する実証エクスプロイトを公開したにもかかわらず、Ubuntuは全サポート対象リリースで「Vulnerable」のまま。ボランティア運営のDebianやArch、Alpineは修正を配布済みだ。セキュリティ購読を販売するCanonicalの対応に、筆者は全サーバーのUbuntu移行を決意した。
ボランティアが運営するディストロ（Debian、Arch、Alpineなど）は修正を配布済みだ。一方、セキュリティ購読を販売している企業が作るUbuntuは、まだ配布していない。
HNでの議論
571- BoppreH
さらに悪いことに、Ubuntuのセキュリティインシデントページ[0]には「Ubuntu Priority: High」と記載されています（Criticalであれば予定外のパッチがトリガーされるはずです）。「Why this priority?」というリンクがあり、そこにはただこう書かれています：
> なぜこのCVEは優先度が高いのですか？
> ubuntu cvss scoreを参照
それだけです。この未定の文にはピリオドすらありません。その後に「Ubuntu Priority」とは何かを説明する一般的なリンクが続きますが、そのページは彼らの選択と矛盾しています。また、緩和策も一切提供されておらず、（ひどく不明瞭な）説明でさえNISTのページからコピーされているので、Ubuntuからの実際のメッセージはありません。
`apt upgrade`で「Get more security updates through Ubuntu Pro」を初めて見たときから嫌な予感はしていましたが、これが別のディストロに移行するきっかけになりました。
[0] https://ubuntu.com/security/CVE-2026-98432#priority-reason
- throw0101c
記録のために言っておくと、修正を含むカーネルは各LTSリリースの「proposed」リポジトリにあります：
* https://launchpad.net/ubuntu/+source/linux
apt-getに「-t」を追加すれば取得できます（ただしデフォルトでは表示されません）。
26LTSでは、新しいカーネルが10月28日にupdates/securityリポジトリに移動しました。
- alentred
公平を期すために言うと、クリティカル（9.8）ではあるものの、EPSSスコアは1%未満（実際に悪用される確率）です。[1]、[2]などによると、最悪の場合でもカーネルクラッシュやサービス拒否（DoS）にとどまります。Anthropicの投稿も読みましたが、誰もがDoSだと言っているのにAnthropicだけがRCEを主張している点で、どうも話が噛み合いません。これまでに読んだ勧告では「特定の条件下で...カーネルクラッシュを引き起こす」といった記述になっています。
[1] https://app.opencve.io/cve/CVE-2026-98432
[2] https://aws.amazon.com/security/security-bulletins/2026-160-...
- paxy
批判するのは構いませんが、少なくとも建設的にすべきです。この「責任者を出せ」的なエネルギーはオープンソースには持ち込むべきではありません。
この投稿には、この脆弱性が何なのか、どれほど深刻なのか、個人的にどう影響しているのか、サーバーがどれほど脆弱なのか、どう回避しているのか、といった詳細が一切ありません。
ただ最大限の怒りを引き出すように設計されたタイトルと、その後に続く意味のない数行だけです。
- vanschelven
リンクをクリックする前から何の話か分かっていました。脆弱なシステムの修復方法を探しながら、Ubuntu側から「一体何が起きているのか」についての「公式」声明のようなものも探していたのですが、まだ見つけられていません。おそらく「Hacker Newsが十分な注目を集めて誰かが気にかける」フェーズを経る必要があるのでしょうね、おなじみの...
- StrLght
この脆弱性のせいで企業が侵害された例はあるのでしょうか？Ubuntuは膨大なインストールベースを持っています。目立ったインシデントがないということは、9.8というスコアが実世界を反映していない可能性を示唆しています。
そろそろStealMyBitcoinV2の出番かもしれません...
- strenholme
やりましたよ。これが駱駝の背を折る最後の藁でした：Rocky Linuxに移行しました。完全な移行には4時間ほどかかりました。
私はどちらかというとRedHatユーザーで、Ubuntuはどうも居心地が良くありませんでした。2年ごとに段階的なアップグレードをするのは好きではありません。7〜8年に一度の大きなアップグレードで、堅牢な開発環境を維持したいのです。また、`dnf`は`apt-get`と`unattended-upgrades`の混乱に比べてシンプルで安定しています。
- strenholme
これがこの脆弱性に関するUbuntuのウェブページです：
https://ubuntu.com/security/CVE-2026-98432
公開とパッチから1週間以上経った今でも、Ubuntuでは未パッチのままです。
私自身は、Rocky Linux 10に移行したいという気持ちが一部あります。
- bortimus
AWSがAmazon Linux 2向けのパッチを出しているのに、Ubuntuはまだ待っている... yeah。
- imjonse
「Anthropicは、サーバー上でrootを取得する実用的なエクスプロイトを構築したと述べている。完全な乗っ取りだ。」
リンク先のUbuntu CVEページから：
「
脆弱なシステム - 機密性への影響 低
脆弱なシステム - 完全性への影響 低
脆弱なシステム - 可用性への影響 高
」
これはむしろサービス拒否を示唆しています。ではどちらなのでしょうか、リンク先のDebianのメールには数十のカーネルCVEの修正が含まれています。