TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8

Linuxの2026年10月版TCP Use-After-Free: CVE-2026-98432

概要

Linuxの安定版カーネルは、2026年10月11日と15日に、IPv4 TCPハンドシェイクにおけるUse-After-Freeの脆弱性であるCVE-2026-98432に対する修正をリリースしました。この脆弱性は、リモートの認証されていないピアから到達可能です。カーネル自身のCVE Numbering Authority（CNA）は、CVSS 3.1で9.8、Criticalと評価しています。修正されたリリースは5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10、および7.3であり、このバグはLinux 4.4まで遡ります。アップストリームの修正は4行の変更ですが、ほとんどのサーバーはディストリビューションのカーネルを実行しており、CDT 2026年10月29日午前8時現在、Ubuntuのトラッカーではすべてのリリースでカーネルが「Vulnerable」と表示されており、Red HatはRHEL 8、9、10を影響を受けるとしており、修正はありません。

緊急性が高い理由: このバグは、LinuxサーバーがIPv4 TCP接続を受け入れる際に、アプリケーションが接続を認識する前に実行されるコードに存在します。報告したAnthropicの研究者によると、同社のClaudeモデルが、マルチパスTCPリスナーを持つLinuxサーバー上で、認証なしでrootとしてコマンドを実行できる動作する概念実証（PoC）エクスプロイトを作成したとのことです。詳細はタイムラインを参照してください。

主要な事実

影響を受けるシステム

修正が適用されていないLinuxカーネル4.4以降のすべてのシステムが影響を受けます。これには、ネットワークに直接接続しているサーバーや、コンテナをホストしているシステムも含まれます。コンテナはホストのカーネル上で実行されるため、新しいイメージにしても状況は変わりません。IPv6接続は、この主な問題の影響を受けません。「IPv6は最初の問題の影響を受けない」とコミットに記載されています。

ディストリビューションのステータス

ディストリビューションのカーネルは、バックポートされた修正を独自のバージョン番号で提供するため、アップストリームのバージョンではなく、トラッカーを確認してください。CDT 2026年10月29日午前8時現在：

• Ubuntu: トラッカーでは、すべてのリリースでlinuxパッケージが「Vulnerable」とリストされています。26.10、26.04、24.04、22.04では、7.3.0-10.10、7.0.0-43.43、6.8.0-149.149、5.15.0-203.213に「work in progress」が追加されています。20.04、18.04、16.04は「Vulnerable」のみを表示しています。多くのクラウドおよびハードウェア対応カーネルも同様にリストされており、Ubuntu Security Noticeは公開されていません。
• Red Hat: RHEL 8、9、10、およびOpenShift Container Platform 4は影響を受けるとリストされており、修正はありません。RHEL 6および7は影響を受けません（CVEページ）。Red Hatは、緩和策は「利用できないか、現在利用可能なオプションがRed Hat Product Securityの基準を満たしていない」と述べています。
• Debian: 12 "bookworm"（6.1.190-1、DLA-4841-1、およびlinux-6.12 6.12.113-1~deb12u1、DLA-4850-1）、13 "trixie"（6.12.113-1、DSA-6568-1）、およびunstable（トラッカー）で修正済みです。
• SUSE: Importantと評価されています。SUSE Linux Enterprise Server 16.0（kernel-default 6.12.0-160000.40.1）および15 SP4、SP5、SP6のLTSSカーネルは修正済みです。15 SP7は作業中で、openSUSE Leap 15.6および16.0は影響を受けるとリストされています（CVEページ）。
• Oracle Linux: Important、CVSS 3.1 8.1と評価されています。Oracle Linux 7、8、9、10向けのUnbreakable Enterprise Kernel（UEK）のerrataが10月16日にリリースされました：ELSA-2026-500397、ELSA-2026-500398、およびELSA-2026-500399（CVEページ）。このページにはUEKカーネルのみがリストされています。
• Amazon Linux: Important、CVSS 3.1 8.1と評価されています。Amazon Linux 2023では、kernel6.18が修正済み（ALAS2023-2026-3251、10月24日）、kernel6.12も修正済み（ALAS2023-2026-3335、10月29日）です。デフォルトのkernelパッケージとAmazon Linux 2のすべてのカーネルは「Pending Fix」です（CVEページ）。

脆弱性の仕組み

LinuxサーバーがTCP接続を受け入れる際、カーネルは軽量な「リクエストソケット」で半オープン状態のハンドシェイクを追跡し、ハンドシェイクが完了するとフルソケットを作成します。接続元のピアのIPv4ヘッダーにオプションが含まれていた場合、カーネルはそれらを保存し、応答でエコーします。このバグは、カーネルが保存されたオプションをリクエストソケットから新しい接続にコピーせずに渡した後、接続が終了した際に即座に解放してしまうことです。この解放中に、別のCPUがハンドシェイク応答を構築するためにそれを読み取っている可能性があります。解放済みのカーネルメモリを読み取ることは、Use-After-Freeです。

この攻撃にはログインは不要で、すべてカーネルのハンドシェイク処理内で行われ、アプリケーションコードが実行される前です。CNAのスコアリングノートによると、古いデータはカーネルヒープメモリをピアに漏洩させたり、カーネル書き込みを境界外に誘導したり、マシンをクラッシュさせたりする可能性があります。Anthropicは、レースコンディションが発生した場合、「ハンドシェイクは失敗するもののシステム全体はクラッシュしないため、執念深い攻撃者は成功するまで無期限にリトライできる」と述べています。

修正方法

Eric Dumazet氏によるコミット「ipv4: free inet_opt and ireq_opt after an RCU grace period」は、2つの単純なkfree()呼び出しをkfree_rcu()に変更します。これは、すべてのリーダーがメモリの使用を終えるまで待ってから解放します。これらのオプションを置き換える他のコードパスは、すでにこれを行っていました。このコミットは、リクエストソケットの移行（net.ipv4.tcp_migrate_req=1、またはBPF_SK_REUSEPORT_SELECT_OR_MIGRATEプログラム）でも同様の問題を修正し、関連するIPv6ケースは「別のパッチで対処される」と述べています。

torvalds/linux · e3f33b0 · 2026年10月1日

net/ipv4/af_inet.c

1行追加、1行削除

net/ipv4/tcp_ipv4.c

1行追加、1行削除

変更ファイル2件、追加行2行、削除行2行

どのサーバーが影響を受けるか

• 影響を受けるカーネルでIPv4 TCP接続を受け入れるすべてのLinuxホスト: Webサーバー、SSH、データベース、ロードバランサー、Kubernetesノードなど。CNAのノートによると、脆弱なパスは「TCPハンドシェイク中、アプリケーション認証前」に実行されます。
• マルチパスTCP（MPTCP）リスナーを持つホストが最優先。 Anthropicの動作するエクスプロイトが必要とする設定はこれです：「マルチパスTCPリスナーを持つLinuxサーバー」。Anthropicがそのリスナーがなぜ重要なのかを述べておらず、CVEレコードにはMPTCPは記載されていません。サーバーがMPTCPリスナーを持つのは、アプリケーションがMPTCPソケットを開いた場合のみです。チェック方法は以下にあります。

Red Hatは、CNAよりもこのバグの深刻度を低く評価しています。 攻撃の複雑性をHigh（CVSS 8.1）と評価し、結果を主にクラッシュ「または潜在的なメモリ破損」と説明しています。Anthropicのラボエクスプロイトは、少なくとも1つの構成でリモートrootシェルを示しているため、低い評価だからといって待つ理由にはなりません。

システムを確認する方法

カーネルの確認

結果を、アップストリームバージョンではなく、上記のディストリビューションのステータスと比較してください。インストールされているカーネルが実行中のカーネルより新しい場合、修正は再起動するまで有効になりません。コンテナ内ではなく、コンテナホストおよびKubernetesノードでこれを実行してください。コンテナはホストのカーネルを報告します。Debian 12ホストとRocky Linux 9コンテナで実行しました。

マルチパスTCPリスナーの確認

ss -MはMPTCPソケットのみをリストするため、空の結果はMPTCPリスナーがないことを意味します。net.mptcp.enabled = 1だけではリスナーは作成されません。アプリケーションがMPTCPソケットを開く必要があります。Debian 12コンテナでiproute2 6.1を使用して両方をテストしました。ss -MlnpはテストMPTCPリスナーをリストし、隣接する通常のTCPリスナーをスキップしました。

修正方法

カーネルのアップデートと再起動

ディストリビューションから修正済みカーネルが提供され次第、それをインストールし、再起動してください。カーネルのアップデートは、マシンがそれを起動するまで有効になりません。コンテナホストとKubernetesノードも再起動してください。カーネルをバンドルしているアプライアンスやクラウドイメージは、ベンダーのアップデートが必要です。

Debian、SUSE Linux Enterprise Server 16.0および15 LTSSリリース、Oracle LinuxのUEKカーネル、Amazon Linux 2023のkernel6.12およびkernel6.18では、修正がリリースされています。Ubuntu、RHEL、Amazon Linux 2、およびAmazon Linux 2023のデフォルトカーネルでは、CDT 2026年10月29日午後8時現在、まだリリースされていません。上記のトラッカーを監視してください。自分でビルドしたカーネルを実行していますか？そのラインの修正済み安定版リリースに移行してください。

まだパッチを適用できない場合

Red Hatは緩和策を公開していません。以下は、CNAのスコアリングノートに基づいたAtlasの暫定的な推奨事項です。攻撃側のピアは、SYNでIPv4 Record RouteまたはTimestampオプションを提供すると記載されています。TCPトラフィックは、正当な理由でIPv4オプションを運ぶことはほとんどないため、それらを持つTCPパケットをドロップしてもコストはかからないはずです。

ip hdrlength gt 5は、オプションのみが生成する最小20バイトヘッダーよりも長いIPv4ヘッダーに一致します。このルールはコネクショントラッキングの前に実行され、IPv6やTCP以外のトラフィックには影響しません。Debian 12コンテナでテストしたところ、Record Routeオプションを持つSYNをドロップし、通常のTCP接続は引き続き機能しました。エクスプロイトに対してはテストしておらず、カーネルを修正するものではありません。再起動まで有効ですが、再起動が修正済みカーネルへのものである場合は問題ありません。nft delete table ip cve_2026_98432で削除できます。エッジファイアウォールがオプションを持つIPv4パケットをドロップできる場合、そこでドロップすることでその背後にあるすべてのホストを保護できます。

それまでは、MPTCPリスナーをインターネットから隔離し、それを持つホストをパッチリストの最上位に置いてください。

タイムラインとエクスプロイト状況

すべての時間はCDT（UTC-5）です。

エクスプロイト状況。 Anthropicによると、Claudeは「最初のプロンプトの後」にエクスプロイトを作成し、マルチパスTCPリスナーを持つサーバー上で「認証やユーザーインタラクションなしでrootとして任意のコマンドを実行」でき、概念実証では「カーネルポインタの漏洩に48分、シェルコマンド実行にさらに5分かかる」とのことです。Anthropicはエクスプロイトを公開していません。同社の開示ポリシーは、開発者に90日のパッチ期間と、Anthropicが公開アドバイザリ以上の詳細を議論する前にさらに45日を与えています。CDT 2026年10月29日午後8時現在、8つのGitHubリポジトリがCVEを参照していました。ほとんどは監査または緩和ツールと自己説明しており、AnsibleロールやAlmaLinuxおよびRocky Linux用のlivepatchなどが含まれます。1つは午後7:22に作成され、レーストリガーが含まれていると述べています。CVEは、CDT 2026年10月29日午後8時現在、CISAの既知の悪用済み脆弱性カタログには含まれていません。公開されている概念実証はテストしておらず、リンクも提供していません。

本投稿の更新

以下のいずれかが変更された場合、この投稿を改訂し、更新済みとマークします：Ubuntu、Red Hat、またはAmazon Linuxからの修正済みカーネル、NVDの分析、KEVリストまたは悪用報告、個別のIPv6修正。

• 2026年10月29日午後8時CDT: Oracle Linuxを追加。10月16日からUEKカーネルで修正済み。Amazon Linuxを追加。Amazon Linux 2023の6.12および6.18カーネルで修正済み、他は保留中。8つのGitHubリポジトリがCVEを参照しており、1つはレーストリガーを説明。Ubuntu、Red Hat、Debian、SUSE、NVD、KEVは午前11時から変更なし、修正もなし。

ヘルプの入手

どのホスト、ノード、アプライアンスがどのカーネルを実行しており、どれが今週再起動できるかを知ることが難しい場合、当社のコンサルタントが計画を支援します。

Atlas Service

Atlas Technical Consulting

セキュリティ監査、コードレビュー、DevOps作業のシニアアドバイザー — リテイナー契約なしの2時間ディスカバリーブロック、24時間対応SLA。

このバグはどのリスニングTCPポートからでも到達可能であるため、インターネットから見えるポートを把握しておくことが役立ちます。当社の無料外部監査では、検証済みのドメインとパブリックIP、既知のCVEを持つ公開されているソフトウェアバージョン、TLS、メールセキュリティ、DNS、HTTPヘッダーをチェックします。

Atlas Service

無料外部セキュリティ監査

検証済みのドメインとパブリックIPの非破壊検査、および3営業日以内にランク付けされたすべての発見事項とそれぞれの修正策を含むPDFレポート。

今月2つ目のLinuxカーネル修正であり、どちらも再起動後に有効になります。もう一つはFragnesiaで、PHP2Shellと組み合わせてroot権限を取得するために連鎖されています。

ソース

---

[2] タイトル: Show HN: A USB-C LTE modem that gives my computer a phone line
URL: https://github.com/Koppar-AI/koppar-lte-modem
本文:

Koppar LTEモデム: USB-C経由の電話回線

コンピューターに独自の電話回線を提供する4層基板：LTEデータ、SMS、音声通話が可能で、通話音声はUSB経由です。nano-SIMとUSB-Cケーブルを接続するだけで、コンピューターはヘッドセットで通話に応答したり、スクリプトやAIエージェントに渡したり、テキストメッセージを送信したりできます。

［画像: 基板、85 x 65 mm、4層］

この基板はKopparが1ページの仕様書（spec.txt）から設計し、その後データシートと照らし合わせて部分ごとにレビューされました。

機能

USB-Cケーブル1本で、コンピューターはオンボードUSBハブを通じて3つの通常のデバイスとして認識します：

バッテリー、画面、スピーカーはありません。3つのLEDがNET（緑）、RING（アンバー）、CALL（青）を示します。電源はUSB-Cから5 V、モジュールの2 A送信バースト用の3.8 V / 3 Aバックコンバータ、ハブ、RP2040およびそのフラッシュ用の3.3 Vです。

回路図はPDFでも入手可能です。

内容物

作成方法

基板。 board/fab/gerbers.zipをJLCPCBにアップロードしてください：4層、1.6 mm、スタックアップJLC04161H-3313（アンテナフィードはこの上で49 Ω）。すべてのビアは0.45 / 0.2 mmで、パッド上にはありません。したがって、「最小ビア穴サイズ 0.2mm/(0.3/0.35mm)」および「ビアカバー：プラグド」を選択してください。パッド上ビアなし、追加オプションなし。

組み立て。 board/fab/jlc/BOM-JLCPCB.csvとCPL-JLCPCB.csvを使用してください。確認前に配置プレビューを確認してください。特にLEDとSIMソケット（カードスロットは基板端にあります）。REVIEW.mdには、ファイルで修正された部品リストがあります。

自分で調達する部品。 これらはJLCPCBの組み立てラインにはなく、または基板上にありません：

KiCadでの開き方

KiCad 10でboard/koppar-lte-modem.kicad_proを開いてください。モジュールのフットプリント、シンボル、3Dモデルはプロジェクト内（board/footprints, board/custom_syms, board/models）にあり、プロジェクトのライブラリテーブルでリンクされています。

KiCadのライブラリには2つのフットプリント用の3Dモデルがないため、3Dビューアでは本体が表示されません：

easyeda2kicadはどちらか一方を.wrlに変換でき、それをフットプリントにアタッチできます。上記のレンダリングではそれらを使用しています。

起動とリカバリ

BOOTSELボタンはありません。空のRP2040はUSBブートローダーで起動します。裏面には、残りのための3つのラベル付きパッドグループがあります：

［画像: 裏面のパッド］

• BOOT + GND: これらをショートさせた状態で接続すると、RP2040は新しい.uf2用のUSBドライブとして認識されます。ファームウェアがUSB開始前にクラッシュした場合でも同様です。
• SWD (CLK, DIO, GND): Pico Debug Probeまたは任意のCMSIS-DAPプローブを使用します。
• USB_BOOT + 1V8: これらをショートさせた状態で接続すると、EC25は緊急ダウンロードモードで起動し、モデムのアップデートが失敗した場合に使用できます。

モデムは自動的に電源が入りません。RP2040がPWRKEY（GPIO22）とRESET_N（GPIO23）を駆動します。ファームウェアが実行されるまで、コンピューターはハブとRP2040のみを認識します。

設計レビュー

最初のバージョン（リビジョンA）では、35 Ωのアンテナフィードがレイヤーをまたいでおり、インダクタから60 mm離れたバックコンバータがあり、SIMソケットの向きが逆でした。これら3つすべてが、部品リストと組み立て時の回転とともに修正されました。REVIEW.mdには、すべての発見事項とその番号が記載されています。

［画像: リビジョンAとリビジョンB（このリポジトリ）］

ステータス

VoLTEはEC25-EUXでオプションです。2Gと3Gがオフになっている場合、通話にはVoLTE対応のモデムファームウェアと、それを許可するキャリアが必要です。販売元に確認してください。

独自の設計を

この基板はテキスト1ページから始まりました。Kopparは、spec.txtのような仕様書から、回路図、ルーティング済み基板、ライブ価格のBOM、ガーバーファイルを作成します。既存のKiCad基板の作業や、MCP経由での独自の代理人との作業も行います。

ライセンス

CERN Open Hardware Licence Version 2, Permissive（LICENSE）。