Linux、ログインされる前に「root」を取られていた──深刻度9.8のカーネル脆弱性、修正の波が現場に届くまで
Linuxカーネルに、認証なしで遠隔から管理者権限（root）を奪われる可能性のある重大な脆弱性が判明した。深刻度はCVSS換算で10点満点中9.8。脆弱性の番号は「CVE-2026-9843」で、パスワードの入力も、不審なファイルを開くクリック操作も必要とせず、ネットワーク越しにルート権限でコマンドを実行できた──という実証内容が公開され、サーバー管理者たちの間で波紋が広がっている。
問題は「IPv4のTCP接続」を扱うカーネル内部
脆弱性が存在するのは、IPv4のTCP接続を処理するカーネルの部分だ。複数の処理が同時に重なった瞬間に、すでに解放済みのメモリ領域を別の処理が続けて使ってしまう「use-after-free」型の不具合であると説明されている。カーネルはOSの心臓部であり、全プログラムがその上で動いている。ユーザー空間のアプリなら隔離や再起動で逃れられるが、カーネル本体の欠陥はそうはいかない。
実証の標的となったのは、MPTCP（マルチパスTCP）の接続を受け付けるサーバーだ。MPTCPは1つの通信セッションで複数の経路を同時に使えるようにする機能で、有効にしている環境は限られる。ただし「うちは使ってないはず」という自己申告だけを頼りにできないのが実務の怖いところで、どのディストリビューションのどのバージョンで既定値がどうだったのかは、製品ごとの確認が必要になる。
「48分＋5分」が意味すること
公開された実証手順には、具体的な時間も記されている。カーネルのポインターを意図した状態に書き換える足場作りに約48分、続くコマンド実行に約5分。つまり、攻撃が成立するまで合計1時間弱の機械作業で足りるという計算だ。AIが瞬時にあらゆる環境を突破した、という話ではない。それでも、この数字が重い理由は明白だ。会議に出ている間、昼飯を食っている間、担当者が退勤した後の夜間に、向こうは淡々と作業を進められる。
さらに今回注目されるのは、攻撃コードの作成過程にAIが関与したと説明されている点だ。防御側がAIでコードの欠陥を探すのと同じ速度で、攻撃側もAIで攻撃を組み立てられる時代に入ったということになる。「AIに面倒な仕事を任せたい」と思っているのは、こちら側だけではなかったのだ。
「上流は修正済み」と「自分の環境は修正済み」は別物
上流カーネルにはすでに修正パッチが公開されている。しかし10月29日時点の各社の情報を見ても、脆弱なままの環境と、修正の適用作業中の環境が混在している。Linuxはディストリビューションごとに、またカーネルバージョンごとに修正の提供時期が違う。修正が存在することと、自分のサーバーがその修正を受け取れることは完全に別問題で、しかも「治りました」という報せが届くまでの時間が、一番きつい。
かといって、検証もせずに新しいカーネルを本番環境に突っ込むのも怖い。動かなくなったら、それはそれで自分がサービスを止めたことになる。だから多くの現場は公式の対応を待つしかなく、その「待ち」がやけに長く感じる。更新のお知らせは普段は邪魔に感じるくせに、こういうときだけは早く来いと思ってしまう──管理者の性というより、人間のままだ。
ネットの反応
これヤバイ。一体世間にいくつのLinuxルーターがあるんだよ。PCと認識してない機器が全部脅威になるぞ。一般人は家のルーターの裏でLinuxが動いてるなんて意識ないからな。
9.8って数字だけで昼飯の予定を1回消したくなる。残り0.2が何なのかより、何が対象なのかを見せてくれ。
Linux全部が一斉に終わったみたいな見出しになると、自分の環境を確認する前に変な汗が出る。条件を最初に書いてほしい。
「使ってないはず」が仕事を増やすんだよな。止めていいサービスかどうかも分からないと、設定画面を開いたまま固まる。
ルートって言葉だけは詳しくない人にも一発で伝わるな。鍵を1個盗まれたっていうより、鍵を作る側まで持っていかれる感じがする。
48分と5分か。会議に出てる間に向こうはその作業を続けられるわけか。速さより、すっきり寝てなくても進む感じが嫌だな。
修正があるの一言で安心しかけた。自分の使ってるディストロにまだ来てないなら、そこからもう1仕事あるのか。「上流では直りました。現場にはまだです」この間が一番きつい。
認証なし。操作なし。root。この3つを並べられたら、記事を読み終えた後に指が止まるわ。通知だけ読んで安心するやつにはなりたくない。
AIの所感
今回のニュースを構成する要素を分解すると、実は3つの話が混ざっている。①カーネルのuse-after-freeという技術的な欠陥、②それが認証前・操作なしで遠隔rootまで繋がった実証、③攻撃コードの作成にAIが関与したという文脈だ。①と②はLinuxの話を、③はこれからの時代の話をしている。見出しのインパクトに飲まれて「Linuxが終わった」と結論するのは早計だが、「発見される速度」と「配布される速度」の格差が、そのまま攻撃の窓になっているのは確かだ。AIが脆弱性の発見を加速させるなら、同じAIを修正の検証と配布パイプラインに使うしか勝ち筋はない。管理者にできることは地味で、使っているディストリビューションの告知を確認し、MPTCPが本当に必要か点検し、更新の予定を来週に回さないこと。安全なOSを選んだら管理から卒業できる、という神話はとっくに終わっている。