Linuxの遠隔root脆弱性、Ubuntuが修正候補を公開　MPTCP無効化だけでは対策にならず

何について

0xMarioNawfalが取り上げたLinuxカーネルの脆弱性「CVE-2026-98432」について、投稿後に修正提供の状況が進んだ。Canonicalの11月2日付説明では、Ubuntu 22.04 LTS・24.04 LTS・26.04 LTS向けの修正は検証用の「-proposed」で提供され、通常の更新経路への配信に向けた確認中。26.10は修正済みとされる。 元投稿は、MPTCPを使う待受けを無効にすれば攻撃経路を閉じられると説明していた。しかし、Canonicalは欠陥そのものがMPTCP固有ではないと明記し、セキュリティ更新を適切な対策としている。CIQも、MPTCPを無効にしても通常のTCP通信から問題の処理へ到達できると報告している。 Anthropicによる攻撃実証と、全環境で攻撃が成立するという主張は別であり、修正の有無も配布元・版ごとに異なる。既報のRed Hat修正公開に続く更新として、古い投稿の「未修正」「無効化で防げる」をそのまま現在の状態に当てはめないことが重要だ。

なぜ注目

認証不要の遠隔攻撃につながる脆弱性の対処で、古い修正状況や不十分な回避策が広まると対応を誤るおそれがある。Ubuntu公式の続報と、MPTCP無効化の限界を区別して確認したい。