Linuxカーネルの脆弱性 CVE-2026-98432 について

今回はpiyologさんのところから引用します。

https://piyolog.hatenadiary.jp/entry/2026/10/30/120732 (10/30)

『2026年10月15日、LinuxカーネルのCNAは、IPv4のTCP処理にあるuse-after-freeの脆弱性 CVE-2026-98432 を公開しました。ここでは関連する情報をまとめます。

どんな脆弱性が確認されたの?

• IPv4のTCP接続処理で、要求ソケットのIPオプションが解放された後も別のCPUが読み続けうるuse-after-freeが生じる。認証は不要で、接続を受け付けているサーバーにネットワーク経由で到達できる相手が対象になる。(出典: 2, 4)
• 発見と報告はAnthropic。(出典: 1, 19)
• Anthropicは10月27日の研究レポートで、この脆弱性を使った遠隔でのroot権限のコマンド実行を実証したと公表。(出典: 19)

脆弱性概要

CVE	CVE-2026-98432
CVSS(基本値)	9.8(CVSS 3.1、Linuxカーネル CNA評価)
CWE	CWE-825(Expired Pointer Dereference。Red Hatの付与)
悪用時影響	認証不要のネットワーク経由で、情報漏えい、メモリ破壊、カーネル停止の恐れ
悪用状況	KEV未掲載(2026年10月30日版)

』

確認・対策:

　　(Gemini談)

• サーバー側でMPTCPのリスナーが有効になっていないか、コマンド（ss -Mnlpなど）で確認します。
• 各ディストリビューション（Debian、Ubuntu、RHEL/Rocky Linux、Amazon Linux等）から提供されている修正済みカーネルへのアップデートおよびシステムの再起動が推奨されています。
• 暫定措置として、Goの環境変数 GODEBUG=multipathtcp=0 の設定や、OS側でのMPTCP無効化などが案内されています。 [1, 2]