Claudeが実証したLinuxの遠隔root脆弱性、RHELは修正公開・Ubuntuは対応状況に注意

何について

Anthropicは、未公開の内部モデルを使い、LinuxのIPv4 TCP処理にある脆弱性「CVE-2026-98432」から、認証情報や利用者の操作なしに管理者権限で命令を実行する実証コードを作成したと報告した。公表された実証はMPTCPの待受けを持つサーバーが対象で、カーネル内の情報を得るまで48分、そこから命令実行までさらに5分を要した。実験での所要時間であり、あらゆる環境で同じ結果になるという意味ではない。 元投稿はUbuntuとRed Hatに修正がないと伝えたが、その後の状況は変わっている。11月2日に確認したRed Hatの公式通知では、11月1日付でRHEL 8・9・10向けの修正が公開済み。UbuntuのCVEページは、主要な対象カーネルを対応中または脆弱と表示している。Debianにも修正済みパッケージがあるため、利用中の製品・版に対応した公式情報を確認する必要がある。 深刻度はCVSS 9.8。Goのセキュリティチームは、Go 1.24以降ではMPTCPが既定で使われる一方、問題自体はMPTCP固有ではなく、無効化だけを確実な対策と考えるべきではないと注意している。AIによる攻撃の実証と、各配布元の更新提供・適用状況を分けて捉えることが重要だ。

なぜ注目

認証なしの遠隔攻撃につながる重大な欠陥で、AIの脆弱性探索能力と実際の保守対応の両方に関わります。Red Hatの修正公開という続報を含め、対策状況を取り違えないために優先して確認したい情報です。