緊急（Critical）脆弱性2026-10-30
Linux カーネルの TCP 処理に深刻度9.8の脆弱性、認証なしで root 奪取の実証も
Linux カーネルの IPv4 TCP の接続処理に、解放済みメモリを使ってしまう脆弱性が見つかった （CVE-2026-98432、カーネルの CVE チームによる評価は CVSS 9.8）。Linux 4.4 以降が対象で、 IPv6 は影響を受けない。Anthropic は10月27日、Multipath TCP（MPTCP）の待ち受けがある サーバーで、認証なしに外部から root 権限でコマンドを実行できることを実証したと発表した。 Red Hat などは深刻度を 5.9〜8.1 と評価しており、ディストリビューションによって修正版の 提供状況が異なる。別に、ローカルで権限を昇格できる「Fragnesia」（CVE-2026-46300、CVSS 7.8）が 10月28日に米 CISA の悪用確認済み脆弱性リスト（KEV）に追加された。
放置すると：インターネットに公開している Linux サーバーが、ログインなしで乗っ取られる恐れがある。 乗っ取られると、サーバー上のデータや認証情報を盗まれたり、ランサムウェアや踏み台に 使われたりする。Fragnesia は実際に悪用されており、一般ユーザーやコンテナから root を 奪われる恐れがある。
サーバー管理者：ディストリビューションが配布する修正版カーネルに更新し、再起動する（更新だけでは反映されない）。 修正版がまだ出ていない場合は、インターネットに公開しているサーバーを優先し、MPTCP の 待ち受けを止める（net.mptcp.enabled の値を記録してから無効化を検討）、外部からの到達を 制限するなどで当座をしのぎ、配布元のセキュリティ情報を毎日確認する。個人・アプリ利用者：レンタルサーバー・VPS・クラウドで自分の Linux サーバーを持っている場合は、管理画面や 事業者のお知らせで対応状況を確認する。Android やパソコンの Linux は、OS の更新が届いたら適用する。
修正版：上流カーネル 5.10.272 / 5.15.223 / 6.1.190 / 6.6.159 / 6.12.113 / 6.18.56 / 7.2.10 / 7.3（各ディストリビューションの修正版カーネル）
個人の対応チェックリスト
チェックの状態はこの端末のブラウザにのみ保存されます（他の人には共有されません）。