WTF Ubuntu?
要約
この記事は、LinuxカーネルのTCPコードに存在する深刻な脆弱性CVE-2026-98432に対するUbuntuの対応の遅れを批判しています。この脆弱性は2016年から存在し、リモートからのroot権限奪取を可能にするにも関わらず、Debianなどの他のディストリビューションが修正パッチをリリースした後に、Ubuntuは2週間以上経っても対応できていません。著者はUbuntuへの信頼を失い、サーバーの移行を決意したと述べています。
全文翻訳
WTF Ubuntu?
2026-11-02
What the fuck, Ubuntu?
見逃しているかもしれませんが、CVE-2026-98432 はLinuxカーネルのTCPコードにおけるクリティカル（CVSS 9.8）なバグです。これは2016年から存在していたため、事実上、地球上のほぼ全てのLinuxサーバーがこの脆弱性を抱えており、リモートから攻撃可能です。Anthropicは、サーバー上でroot権限を取得できる実用的なエクスプロイトを構築したと述べています。これは完全な乗っ取りを意味します。
Debianは10月16日にパッチを適用しました。Ubuntuは2週間以上経ってもまだパッチを提供していません。LTSを含む全てのサポート対象リリースが「Vulnerable（脆弱）」とリストされています。
Ubuntuのウェブサイトは"クリティカルな脆弱性に対するタイムリーなパッチ"を約束しています。Ubuntuは、CVSSスコア9.8と評価されてから9日後、そして実用的なrootエクスプロイトが報告されてから6日後になっても、パッチをリリースしていません。実にタイムリーですね。
ソフトウェアは、言葉が何の意味も持たないような、このような戯言に満ちています。Ubuntuは「Timely（タイムリー）」「Enterprise-grade（エンタープライズグレード）」「Production grade（プロダクショングレード）」「Enterprise resilience. Developer velocity. Build with confidence on Ubuntu.（エンタープライズのレジリエンス。開発者の速度。Ubuntuで自信を持って構築する。）」のような言葉を使っています。
誰か、あるいはもっと悪いことに、Canonicalの特別なチームが、これらの........を書くことに専念しているのでしょう。
だからもう一度尋ねます… What the fuck, Ubuntu?
私は全てのサーバーをUbuntuから移行します。完全に信頼を失いました。デスクトップでは、元々いつも嫌っていました。サーバーでは、ほとんどのVPSプロバイダーでデフォルトであるため使用していましたが、堅実で問題のないLTSディストリビューションだと考えていました。もうそんなことはどうでもいいです。
この状況がいかにクレイジーであるかを表現できません。このことを知ったとき、サービスやデータを移行する時間がなかったので、Ubuntuを実行している全てのサーバーをオフラインにしなければなりませんでした。
ああ、それと、ボランティアが運営するディストリビューション（Debian、Arch、Alpine…）は修正パッチをリリースしています。一方、セキュリティサブスクリプションを販売している企業が開発したUbuntuは、まだリリースしていません。これは2026-11-02 14:48 UTC時点の情報です。