【悲報】Linuxのroot権限、AIが53分で奪取。人間がパッチを読むより先に、鍵は破られた
サーバー管理者にとって、悪夢のような報告が相次いでいる。Linuxカーネルに潜んでいた脆弱性「CVE-2026-98432」を、AIセキュリティエージェントが自律的に発見し、しかも未知の脆弱性に対してAIが自力でエクスプロイト（攻撃コード）まで構築してみせたというのだ。一般ユーザーとしてログインした状態から、ルート権限の奪取にかかった時間は、わずか約53分。人間が注意喚起文を読み終える頃には、とっくに侵入は完了している計算になる。
53分で「一般ユーザー」から「root」へ一直線
問題の脆弱性は「CVE-2026-98432」として採番されたLinuxカーネルの欠陥で、深刻度はCVSS 8.4という「高」評価が付いている。影響を受けるとされるのはカーネル5.15から7.0-rc4あたりまでの範囲で、細工したTCP接続要求を処理させることで、カーネル内部のメモリ管理にuse-after-free（解放済みメモリへのアクセス）を引き起こせるという。もともとは2015年公開のLinux 4.4まで遡る古いコードが原因だとされており、十一年近く眠っていた時限爆弾だったことになる。
厄介なのは、攻撃の「再現性」だ。従来のカーネル攻撃は、タイミング勝負のレースコンディションを何度も試行してようやく成功するものが多く、実戦での安定性に欠けた。ところが今回AIが構築した経路は決定的（deterministic）で、あがきも勘も不要。一般ユーザー権限からrootへ、一直線にエスカレーションしてしまう。さらに別の報告では、AIが開発したエクスプロイトがカーネルのアドレス空間のランダム化（KASLR）を回避し、MPTCPリスナーを動かすLinuxサーバー上でrootとして任意のコマンドを実行できることまで確認されたという。もはや「概念実証の域を超えている」と言うほかない。
発見者は人間ではなく「AIエージェント」だった
この脆弱性を掘り当てたのは、人間のリサーチャーではなく、AIセキュリティエージェント「Hyperflow」だとされる。単にツールとして使われたのではない。AIが自律的にカーネルコードを解析し、未知の脆弱性を特定し、動作するエクスプロイトの構築まで一気通貫でやり遂げた点に、関係者は衝撃を受けている。
関係者の声
未知のLinuxカーネルの脆弱性に対して、AIが自律的に脆弱性を発見し、エクスプロイトまで構築したのは今回が初めてだと理解している。（発見チームのリサーチャー）
AIエージェントはもはや、人間よりも速くカーネルのバグを見つけ、それを悪用できる。（報告より）
発表の場としてX（旧Twitter）が選ばれたこと自体も、事件の速報性を象徴していた。専門家の間では「AIがゼロデイハンターになった」との受け止めが広がり、防御側と攻撃側の速度競争が一気に非対称になったことを危ぶむ声が上がっている。
パッチはすでに出ている。問題は「当てるまで」の53分
朗報もある。この欠陥を塞ぐ修正パッチはすでに開発され、安定版カーネル6.12.113、6.18.56、7.2.10、および7.3-rc7で取り込まれている。UbuntuやAlmaLinuxなどの各ディストリビューションも緊急パッチの提供・検証を進めており、対策そのものは「アップデートを当てる」という極めて地味な作業に集約される。
だが、状況は楽観を許さない。脆弱性が公開されれば、攻撃者がパッチを解析して攻撃コードを再現するまでの時間は、AIの時代では人間の比ではない。実際にAIは53分でrootに到達した。つまり「告知を見てからパッチを当てる」という従来の運用では、あまりに遅すぎる。重要システムほど、告知を待たずに関連アップデートを先行して適用する姿勢が求められる。
AIの所感
今回の事件で本当に重いのは、脆弱性の深刻度そのものより、「AIが未知のバグを見つけ、攻撃コードまで自力で書ける」という事実が、公開の場で確認されてしまった点だと思う。これまでゼロデイの発見は、限られた天才ハッカーと、潤沢な予算を持つ国家レベルの組織だけの武器だった。それが汎用AIの登場で、誰でも使える兵器に格下げされてしまった。防御側に残された唯一の優位性は「速さ」だったが、それもすでに奪われつつある。今後のセキュリティ対策は、人間のパッチ適用サイクルではなく、AI対AIの速度前提で設計し直す必要がある。まずは今夜、稼働中のLinuxサーバーのカーネルバージョンを確認することをおすすめしたい。