【Linuxカーネルに深刻度9.8（最大級）の脆弱性。WSL2とDockerの人はapt upgradeじゃ直りません】脆弱性の対応、日々お疲れ様です Chromeに続いて、さらに来ました。今度はLinuxですただ今回は「全員今すぐ」の話ではないので、先に落ち着いて読んでください少し長いですが詳しくまとめたので、自分の環境の見出しだけでも読んでもらえると嬉しいです何の話か CVE-2026-98432というLinuxカーネルのバグです（10月15日公開）先日書いたChromeの大量修正にも関わっている、Anthropicの10月27日の発表（Claudeの未公開モデルが見つけた穴）その中のLinuxの1本です 2015年から入っていたバグなので、現役のLinuxはほぼ全部該当します CVEの記録上のスコアは10点満点の9.8です中身外から細工した接続要求を送りつけられるだけで、ログインも要らずに起きます接続要求の処理が別のCPUで同時に走った時に、消したはずのメモリを読みに行くバグで、起きた時に一番ありそうなのはサーバーごと落ちる（クラッシュ）です IPv4の話で、IPv6は今回のバグの対象外です条件が揃えば外からrootでコマンドを実行できるところまでAnthropicは実証したと発表していますただ報道によるとその条件は「Multipath TCPで待ち受けているサーバー」で、これは複数回線を束ねる拡張で、アプリ側で明示的に使う設定が要るものです普通の設定のWebサーバーがそのまま当てはまるかは、まだ分かりません対象は、外に向けて待ち受けているサービスがある機械です Webだけでなく、SSHの22番を開けているだけで該当するので、開発用のVPSもほぼ全部です逆に、外に向けて何も待ち受けていない機械には刺さる場所がありません AndroidやNAS、ルーター、ラズパイも中身はLinuxですが、考え方は同じで、外に待ち受けを開けていなければ急ぎではなく、修正はメーカー待ちです温度感は配布元で割れています UbuntuはHigh Red Hatは現実的な被害は落ちるまでという見方でModerate、修正は今後の更新に回しています悪用された報告は今のところ見当たりませんなので「全員今すぐ」ではなく、自分がどのケースか見て、出た修正を当てる、で十分かなと思いますクラウドやVPSで公開サーバーを動かしている人配布元の修正が出たら当てて、再起動（カーネルは再起動して初めて効きます） Debianはもう出ています（12は6.1.190、13は6.12.113） Ubuntuは10月30日時点でも22.04、24.04とも作業中で、今apt upgradeしても当たるものはまだありません出た時の番号は24.04が6.8.0-149、22.04が5.15.0-203の予定なので、uname -rがそれ以上になれば修正済みです 20.04以前は通常サポートが終わっているので、修正が来るとしてもUbuntu Pro（個人なら5台まで無料）に入っている人だけです Amazon Linux 2023は6.12系と6.18系のカーネルは修正済み、標準の6.1系とAmazon Linux 2はまだです Red Hat系（RHEL、AlmaLinux、Rocky）は配布元の判断で修正が後になるので、下のつなぎで待つ形です修正が来るまでのつなぎ公式の回避策は、UbuntuもRed HatもSUSEも出していませんその上で、仕組みから言えることが2つあります 1つ目は露出を減らすこと SSHや管理画面は接続元を自分のIPに絞る CloudflareやALBのような前段を挟む場合は、本体側で前段のIP以外を遮断して初めて意味があります（NLBのようにL4で素通しするタイプは別） 2つ目はIPオプションを落とすことバグが触るのは接続要求に付いていたIPオプションのメモリなので、IPオプション付きのTCPパケットを手前で落とせば、理屈上はこの経路に入りません（nftablesならip hdrlength > 5を条件にdrop） TCPだけに絞るのは、他のプロトコルには正規で付くことがあるからです ufwのような簡易ツールでは書けないので、nftablesかiptablesを直接触れる人向けで、自分の環境で試してからにしてください有償のライブパッチ（KernelCareなど）はDebian 13向けが先に出ています Ubuntu ProのLivepatchは確認できていません WSL2の人カーネルはUbuntuの中ではなく、Microsoftが配っていますここがややこしいのですが、Ubuntuの中でapt upgradeしても、カーネルは1ミリも変わりません更新はPowerShellでwsl --update（かWindows Update）そのあとwsl --shutdownで一度止めると、次の起動から新しいカーネルになります Microsoftは修正入りのカーネル（6.18.58.1）をここ数日で公開していますが、wsl --updateで降ってくる版に入ったかはまだ確認できていません WSLの中でuname -rを打って、6.18.56以上なら修正済み、今配られている6.18.33系や、古いままの6.6系・5.15系なら未修正です（WSL1はLinuxカーネルを使っていないので関係ありません） Dockerの人コンテナはホストのカーネルをそのまま使うので、コンテナの中で更新しても意味がありません LinuxのサーバーならホストのOSを更新 WindowsのDocker Desktopは標準のWSL2バックエンドならWSL2のカーネルで動いているので、上と同じwsl --update MacのDocker Desktopは自前のカーネルなので、Docker Desktop本体の更新です（修正入りの版が出たかは未確認） OrbStackやColima、Rancher Desktopも同じで、VMのカーネルを配っているのが誰かで決まります Hyper-VやVirtualBox、VMwareの仮想マシンの人これだけはゲストの中でapt upgradeで合っています（配布元の修正が出てから）自分のカーネルの番号はuname -rで出ます修正済みは5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10以上ですただしこれは、WSL2やArch、Amazon Linuxのように上流の番号をそのまま使っている環境向けの目安です Ubuntu、Debian、Red Hat系は番号の付け方が違って上の番号とは比べられないので、配布元の案内（Ubuntuは上に書いた予定の番号）で見てください自宅のWSL2や仮想マシンは、外から直接つながる構成（ブリッジ接続やポート開放）にしていなければ急ぎではありませんただ「apt upgradeしたから安心」は間違いなので、そこだけ覚えておいてください