Linuxカーネルの脆弱性 CVE-2026-98432 について

今回はpiyologさんのところから引用します。

https://piyolog.hatenadiary.jp/entry/2026/10/30/120732 (10/30)

『2026年10月15日、LinuxカーネルのCNAは、IPv4のTCP処理にあるuse-after-freeの脆弱性 CVE-2026-98432 を公開しました。ここでは関連する情報をまとめます。

どんな脆弱性が確認されたの?

• IPv4のTCP接続処理で、要求ソケットのIPオプションが解放された後も別のCPUが読み続けうるuse-after-freeが生じる。認証は不要で、接続を受け付けているサーバーにネットワーク経由で到達できる相手が対象になる。(出典: 2, 4)
• 発見と報告はAnthropic。(出典: 1, 19)
• Anthropicは10月27日の研究レポートで、この脆弱性を使った遠隔でのroot権限のコマンド実行を実証したと公表。(出典: 19)

脆弱性概要

CVE	CVE-2026-98432
CVSS(基本値)	9.8(CVSS 3.1、Linuxカーネル CNA評価)
CWE	CWE-825(Expired Pointer Dereference。Red Hatの付与)
悪用時影響	認証不要のネットワーク経由で、情報漏えい、メモリ破壊、カーネル停止の恐れ
悪用状況	KEV未掲載(2026年10月30日版)

』

確認・対策:

　　(Gemini談)

• サーバー側でMPTCPのリスナーが有効になっていないか、コマンド（ss -Mnlpなど）で確認します。
• 各ディストリビューション（Debian、Ubuntu、RHEL/Rocky Linux、Amazon Linux等）から提供されている修正済みカーネルへのアップデートおよびシステムの再起動が推奨されています。
• 暫定措置として、Goの環境変数 GODEBUG=multipathtcp=0 の設定や、OS側でのMPTCP無効化などが案内されています。 [1, 2]

10/30 サイバーセキュリティ 3選、 Ivanti CVE-2026-111357, GitLab CVE-2026-97229, VMware CVE-2026-41709 他

今日は新規KEVに重要案件があり、Copilotにまとめてもらった。

1. Ivanti Connect Secure：CVE-2026-111357

• CISAが10/29新規KEV掲載、実悪用確認済み。Critical Functionの認証欠落です。対処期限11/1。 [cisa.gov]
• VPN/境界機器という今回の判定基準に直接合致するため、今朝の最優先とします。
• CISA・10/29新規KEV [cisa.gov]

2. GitLab CE/EE：CVE-2026-97229

• 10/29新規KEV、実悪用確認済み、期限11/1。認証なしで任意コード実行につながるInteger Overflow/Wraparoundで、CISAはForensic triage requiredとしています。 [cisa.gov], [cisa.gov]
• CI/CDという企業IT基盤への影響を考慮して2位としました。

3. VMware ESX：CVE-2026-41709

• 昨日まで二次確認に留めましたが、CISA公式が10/28新規KEV掲載・実悪用確認済みと正式確認できました。 [cisa.gov]
• VMware仮想基盤という影響範囲を今回の選定条件で重視し、3位にします。
• CISA・10/28新規KEV [cisa.gov]

特記事項

上位3件と対応優先度が近いものがあります。

• Cisco Secure Firewall ASA / FTD：CVE-2026-76418。
  10/29新規KEV。未認証リモート攻撃者によるデバイス再起動、DoS。Firewall/VPN境界という性質から重要。期限11/1。 [cisa.gov]

• Linux Kernel：CVE-2026-46300。
  10/28新規KEV、実悪用確認済み。利用範囲の広さから確認対象。 [cisa.gov]

• PHP：CVE-2026-109618 / 109619。
  KEV掲載済みの未認証RCEで、CISA期限は10/29。期限到来案件として依然重要です。 [cisa.gov]

• Adobe Commerce / Magento：CVE-2026-48356、Google Brotli：CVE-2026-111497
  10/27に実悪用確認でKEV入り済み。Internet-facing ECや依存ライブラリの該当有無を確認する位置付けです。 [cisa.gov]

10/29 サイバーセキュリティ 3選、CVE-2026-111497、CVE-2026-48356、PHP引き続き、ほか

1. Google Brotli：CVE-2026-111497

• 10/27 CISA KEV新規追加、実悪用確認済み。 CISA公式はGoogle BrotliのUnchecked Return Value脆弱性としています。 [cisa.gov]
• Adobe/Magentoと並んで10/27の新規KEV2件の一つです。 [cisa.gov]
• CISA・10/27 KEV追加 [cisa.gov]

優先度は高めです。Brotliは単独のエンドユーザー製品というよりライブラリなので、資産名だけでなく依存関係側から該当有無を見る必要があるタイプと考えます。これは私の実務上の整理です。

2. Adobe Commerce / Magento：CVE-2026-48356

• 同じく10/27 CISA KEV入り、実悪用確認済み。CISAは「Unrestricted Upload of File with Dangerous Type」としています。 [cisa.gov]
• EC基盤を自社または委託先が運用している場合に確認対象です。
• CISA公式：10/27 KEV追加情報 [cisa.gov]

3. PHP：CVE-2026-109618 / 109619

• 10/26 KEV追加済み。CISAは両方ともunauthenticated remote code executionにつながる脆弱性として掲載しています。対処期限は本日10/29。 [cisa.gov]
• CISA KEV Catalog [cisa.gov]

前にお話しした国内Webサーバー確認との関係では、今日もPHPを最優先群から外す理由はありません。

特記事項

• Broadcom VMware ESX：CVE-2026-41709。10/28新規KEV入りとの二次情報あり。仮想化基盤という影響範囲の大きさから特記事項に採用。ただし今回検索ではCISA公式の当該個別掲載を直接確認できなかったため要ウォッチ継続。 [ismalicious.com]
• Linux Kernel：CVE-2026-46300。同じく10/28新規KEVとの二次情報。CVSS 7.8と掲載されています。Linux Kernelという利用範囲を考えて特記事項扱いですが、同様に要ウォッチ継続。 [ismalicious.com]
• Arista VeloCloud Orchestrator：CVE-2026-114625。10/23 KEV入りのSD-WAN管理系。二次集計ではCVSS 9.9。VPN/ネットワーク基盤に近い性質から継続確認対象。CVSS値は要ウォッチ継続。 [ismalicious.com]
• Collabora Online Built-in CODE Server：CVE-2026-110447。CISA公式KEVでOS Command Injection/RCE案件として掲載されています。 [cisa.gov]

今朝の4ポイント

1. 米10年債：5.00%。 Fedは据え置いたものの、先日の4.96%への急落後は5%近辺に戻っています。債券配分を考える上でも、「長期金利が急速に低下し始めた」状況にはまだなっていません。 [cnbc.com], [markets.ft.com]
2. AI： 今日の焦点は半導体需要より資金調達。巨額のAI CAPEXを自己資金だけでなく株式・債券市場へ依存し始めている点は、今後のAIバブル判定でも重要です。 [reuters.com]
3. AI半導体： SK Hynixの業績を見る限り、現時点で「AIメモリー実需が既に崩れた」とする材料は今回の検索にはありません。 [cnbc.com]
4. サイバー： 今朝の新着なら Google Brotli → Adobe/Magento。ただし既存案件では、対処期限が今日のPHP 2件を優先確認すべきです。 [cisa.gov], [cisa.gov]

10/27 サイバーセキュリティ 3選、Arista VeloCloud Orchestrator、Collabora Online Built-in CODE Server、PHP

関心分野外でも新規KEVは優先します。

1. Arista VeloCloud Orchestrator：CVE-2026-114625

• 10/23にCISA KEVへ新規追加、実悪用確認済み。
• SQL Injectionで、CVSS 9.9。 [it-mikata....elayer.com], [osintsights.com]
• VeloCloudはSD-WAN管理系なので、Fortinet/Ivanti等と同様、ネットワーク基盤側で利用有無を確認する価値の高い案件と私は判断します。
• 補足　Arista VeloCloud Orchestratorはアリスタネットワークス（Arista Networks）の「VeloCloud SD-WAN」環境を一括で管理・制御するための中央管理ツール（マネジメントプレーン）です。

2. Collabora Online Built-in CODE Server：CVE-2026-110447

• 同じく10/23新規KEV、実悪用確認済み。OS Command Injection、CVSS 9.2。 [it-mikata....elayer.com], [osintsights.com]
• Collabora OnlineをNextcloud等との組み合わせで利用している環境が対象になり得ます。 [osintsights.com]
• 補足　Collabora Online Built-in CODE Server（アプリID: richdocumentscode）とは、オンラインストレージの「Nextcloud」上で、WordやExcel、PowerPointなどのオフィス文書をブラウザから直接共同編集できるようにするための組み込み型ドキュメント編集サーバーアプリです。 [1, 2, 3]

3. PHP：CVE-2026-109618 / 109619

• 前回報告した2件ですが、一般Web基盤への波及可能性から引き続き上位です。
• ただし、Web上の二次情報には**「実悪用あり」とする報道と「KEV未掲載、広範な悪用未確認」**とする報道が混在しており、今回取得したCISAページでは裏付けられませんでした。したがって、現時点でKEV入りとは扱いません。 [pbcsnyc.com], [cyberrecaps.com]
• 脆弱性自体についてはCVE-2026-109618がCritical（CVSS 9.8）として報告されています。 [infosecnexus.com]
• その後、KEVに掲載された

CISA Adds Two Known Exploited Vulnerabilities to Catalog

10/26/2026 7:00 PM EDT

CISA has added two new vulnerabilities to its Known Exploited Vulnerabilities (KEV) Catalog and updated the PHP Alert, Critical Vulnerabilities in PHP Require Immediate Patching.

• CVE-2026-109618 – PHP Memory Corruption Vulnerability
• CVE-2026-109619 – PHP Stale Internal Request-State Vulnerability

＋追加ウォッチ

• Node.js関連の新しいRCE情報が複数の10/25サイバー情報サイトに出ていますが、今回確認した一次情報では裏付けが取れなかったため、今日は主要項目には採用しません。 [pbcsnyc.com], [cyberrecaps.com]
• 従来のFortinet/BeyondTrust/Ivantiは引き続き重要ですが、今日は10/23に実悪用確認で新規KEV入りしたArista VeloCloudとCollaboraを新着として上位にしました。 [it-mikata....elayer.com]

10/23 サイバーセキュリティ 追加ウォッチ案件

上位3件は先日既出のため、AIの主張する"追加ウォッチ"案件を挙げます。

 ＋一般企業ITとして追加ウォッチ

前にご指定いただいた基準で確認しました。

• ISC BIND：10/22にJPCERT/CCが複数脆弱性情報を掲載。DNS基盤なので、該当組織では確認対象です。 [jpcert.or.jp]
• Apache Tomcat：10/21に複数脆弱性情報。Java Web基盤を運用している場合に確認対象です。 [jpcert.or.jp]
• Edge / Chrome：10/21 JPCERT/CC Weekly Reportに双方の複数脆弱性が掲載されています。 [jpcert.or.jp]

ただし、この3点をSiteGuardやKEV案件より上位に置く根拠は、今回取得した公式情報からはありません。

10/22 サイバーセキュリティ 3選、Oracle、Internet-facing製品、Windows CVE-2026-96951

今日は前回のFortinet/Ivanti中心ではなく、10/21に出た情報を優先します　by AI（タロウ注、PHPの件は多分明日）

1. Oracle Java 10月セキュリティ更新

• 10/21公開の新着。 IPAが「攻撃が行われた場合の影響が大きいため、早急にセキュリティ更新プログラムを適用」と注意喚起しています。 [ipa.go.jp]
• 対象にはJava SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503などが含まれます。 [ipa.go.jp]
• IPA・Oracle Java 10月更新 [ipa.go.jp]

2. Internet-facing製品群をJPCERT/CCがまとめて警告

10/21のJPCERT/CC Weekly Reportには、BeyondTrust Remote Support、Palo Alto Networks、Cisco Secure Email Gateway、Fortinet、Ivanti Connect Secure、SiteGuard Server Editionがまとめて掲載されています。BeyondTrustについてはベンダー自身が悪用した攻撃を確認したとされています。 [jpcert.or.jp]

JPCERT/CC Weekly Report 10/21 [jpcert.or.jp]

3. Windows CVE-2026-96951は引き続き優先

• Microsoft自身が更新公開前から実悪用されていたことを確認。早急なアップデートを求めています。 [microsoft.com], [ipa.go.jp]
• 10月更新にはWindows 11/Server、Office、SharePoint、Exchange、SQL Server、.NET等の修正も含まれます。 [microsoft.com]
• Microsoft公式 10月セキュリティ更新 [microsoft.com]

＋追加ウォッチ：今回は該当あり

• Edge / Chrome：JPCERT/CCの10/21 Weekly Reportが双方の複数脆弱性と修正版への更新を案内しています。広範なエンドユーザー環境という意味でIT部門が確認する価値があります。 [jpcert.or.jp]
• NGINX：同じく複数の脆弱性について修正版への更新を案内。Web基盤として利用している場合は確認対象です。 [jpcert.or.jp]
• PHP：10/21にCVE-2026-109618/109619のCritical脆弱性情報が出ています。検索結果ではCISAは即時パッチを強く推奨する一方、その時点では悪用を観測していないとされています。KEV入りは確認できません。※要確認 [rescana.com]

今朝の要点

• IT： AI GPUだけでなく、TIの決算から産業・アナログ半導体にも需要回復の兆候が見えます。 [reuters.com]
• サイバー： 今日の新着ではOracle Javaを追加確認すべきです。一方、Fortinet/BeyondTrust/Ivanti/PAN-OS/Windowsについては既報でも重要性が低下したわけではなく、JPCERT/CCの10/21号でも引き続き対象になっています。 [jpcert.or.jp], [ipa.go.jp]

10/21 サイバーセキュリティ 3選、CVE-2026-106931, CVE-2026-96652,4,5,6, CVE-2026-110936

サイバーセキュリティ｜今日は重要な更新あり by AI

昨日10月20日にCISAが新たに6件をKEVへ追加しました。 すべて実際の悪用証拠に基づく追加です。 [cisa.gov]

1. SiteGuard Server Edition：CVE-2026-106931

• OS Command Injection。10/20にKEVへ追加されました。 [cisa.gov]
• JPCERT/CCもこの脆弱性について独立した注意喚起を出しています。 [jpcert.or.jp]
• 日本企業との関連性を踏まえると、今日の最優先確認候補と考えます。

2. Plex Media Server：4件

• CVE-2026-96652：SSRF
• CVE-2026-96654：Encoded URI処理
• CVE-2026-96655：SSRF
• CVE-2026-96656：外部からのファイル名/パス制御
  4件すべて10/20にKEV追加です。 [cisa.gov]
• 企業ITで利用していなければ対象外ですが、Plexを個人・部門サーバー等で運用している場合は確認価値があります。

3. Siemens Software Center：CVE-2026-110936

• Uncontrolled Search Path Element脆弱性。こちらも10/20新規KEVです。 [cisa.gov]
• Siemens製品を利用するOT/製造環境では対象製品の有無を確認する価値があります。後半は私の優先度判断です。

CISA 10月20日KEV追加・公式 [cisa.gov]

＋「一般企業として見落としたくないもの」

• Windows CVE-2026-96951：Microsoft自身が実悪用を確認済み。IPAは**「至急、セキュリティ更新プログラムを適用してください」**と明記しています。 [ipa.go.jp]
• またJPCERT/CCは、国内外のWebサービスへの最近の攻撃で、攻撃者がAIを利用して既知脆弱性のスキャンやAPI経由の攻撃を行っていたことを確認しています。 [blogs.jpcert.or.jp]
• IPA Microsoft 10月セキュリティ更新 [ipa.go.jp]
• JPCERT/CC 攻撃手法調査 [blogs.jpcert.or.jp]

今朝のニュース全般、4点だけ

• 市場: 米10年債は約**5.11%**へ低下。S&P +0.28%、NASDAQ横ばい、Dow +1.02%。 [nexqual.com], [markets.ft.com]
• 原油: 約**$98**と依然高水準。世界経済にとって中東情勢→エネルギー→インフレの経路は引き続き要注意です。 [nexqual.com], [imf.org]
• AI: 中国勢によるNVIDIAへの350億ドル超の発注は、輸出規制下でもAI計算能力への需要が極めて強いことを示す出来事です。 [reuters.com]
• ByteDance、Alibaba、Tencentが、輸出規制に適合する RTX PRO 5500を合計300万枚超、総額350億ドル超発注したとReutersが報道。NVIDIAは需要が計画生産量を大幅に上回り、全量供給を保証できないとしています。 [reuters.com]
• Reuters NVIDIA中国向けGPU [reuters.com]
• サイバー: 今日は過去数日のFortinet/Ivanti/BeyondTrustよりも、10/20に新規KEV入りしたSiteGuard、Plex、Siemensを新着としてチェックする意味があります。特にSiteGuardはJPCERT/CCも個別注意喚起しており、日本企業では見落としたくない案件です。 [cisa.gov], [jpcert.or.jp]