Ubuntu、CVSS 9.8のLinux 0day RCEに3週間近くパッチ未提供
Ubuntu still has not released patch for Linux 0day RCE in almost 3 weeks
UbuntuはCVSS 9.8の重大脆弱性CVE-2026-98432に対し、22.04・24.04・26.04のLTS向け修正カーネルを未だ公開していない。インターネット公開やマルチテナントの自己ホスト環境では分離と権限境界をLTSカーネルに依存しており、パッケージが出るまで攻撃に晒されたままになる。修正のETAも告知されておらず、管理者は純正カーネルの継続か、ツリー外の緩和策か、パッチ済み環境への移行かの判断を迫られている。
Ubuntu has not announced an ETA for the fixes.
HNでの議論
81- jimrandomh
以前は雑多なLinuxマシンはデフォルトでUbuntuにしていたのですが、アップグレードしようとしてUbuntuにパッチがなかったことに気づき、Ubuntuへの信頼が揺らぎました。今後、新しいサーバーにはおそらく選ばないでしょう。
- c0l0
Ubuntuがこういう決断をしたという指摘は、またかという感じでほとんど興味が湧きません。私が知りたいのは、なぜ彼らが（公式の理由があればそれ、なければ非公式・推測で構いません）パッチを出さないのか、その理由です。
パッチを当てるのはそれほど複雑には思えませんし、最近はカーネルのアップグレードなんてありふれたものです。それなのに、なぜこんなに長く修正を遅らせているのでしょうか？
- harry8
質問です：
私が見てきた消費者向けルーターや無線APはどれもLinuxで動いています。
しかし、それらが使っているカーネルのセキュリティアップデートを目にしたことがありません。一度も。本当に一度も。
これは懸念すべきことなのでしょうか？たとえ自分が消費者向けのTP-LinkやNetgear、ASUSなどのルーターを使っていなくても。
追記：
私が言うべきだった文脈は、LLMがスクリプトキディに国家レベルのツールと専門知識を与えていると思う、ということです。この既知のバグは、次の20個のバグに比べれば常に興味が薄れます。
- majorchord
彼らは緩和策の可能性や手順も一切提供していません…RHELにはここに一つの方法があります：https://access.redhat.com/security/vulnerabilities/RHSB-2026...
しかしRHELも、その緩和策は「この脆弱性への露出を減らすが、完全に防ぐことはできない」と主張しており、それが何を意味するのか、どうやって可能なのかを説明していません…私もこの主張を他の誰かがしているのを見たことがありません。
- pelagicAustral
実際に悪用されているエクスプロイトは見ていません。少なくとも20台の異なるサーバーが（当然ながら）未パッチのままですが、リスクは過大に誇張されています。利用可能な緩和策はいくつかあります。