2026年10月15日、Linuxカーネル（＝Linuxというサーバー用OSの中心部分）の脆弱性（＝システムの安全上の欠陥）「CVE-2026-98432」が公表されました。インターネットにつながったサーバーに、ログインしていない第三者が特定の通信を送ることで攻撃できるおそれがあるとされ、深刻度はCVSS v3.1で9.8（緊急）と評価されています。
「Linuxカーネルの脆弱性って、さくらインターネットの件でも見たけど、また別のもの？うちは何をすればいいの？」
先に結論をお伝えします。Webサイトや業務システムの多くは、Linuxのサーバーで動いています。サーバーのOS（カーネル）を修正版に更新し、再起動することが対策です。誰がOSを更新するかはサーバーの種類によって違うので、まずは「自社のシステムはどこで動いていて、OSの更新は誰がするのか」を開発会社に確認しましょう。先日のCVE-2026-99999（さくらインターネットが対応を発表した脆弱性）の修正版に更新済みであれば、多くの場合この脆弱性も直っています。
この記事では、公式の情報をもとに何が問題なのかを整理し、発注者が開発会社に確認したいことを、チェックリストと質問例つきで解説します（内容は2026年10月29日時点の情報に基づきます）。
CVE-2026-98432の公式情報の要点
📰 出典：NVD「CVE-2026-98432」
| 項目 | 公式情報の内容 |
|---|---|
| 対象 | Linuxカーネルの、IPv4（インターネットの通信の仕組み）でTCP接続を受け付ける処理 |
| 起きること | 接続の受け付け処理の途中で、使い終わったメモリをまだ使ってしまう欠陥（use-after-free）があり、メモリの中身が漏れたり、壊されたりするおそれがある |
| 攻撃の条件 | 接続を受け付けているサーバーに対して、ログインしていない第三者が通信を送るだけで攻撃できるとされる |
| 深刻度 | CVSS v3.1 で 9.8（緊急）。Linuxカーネルの担当機関による評価 |
| 影響を受けるバージョン | 4.4以降のカーネル（修正版より前） |
| 修正版（カーネル本体） | 5.10.272／5.15.223／6.1.190／6.6.159／6.12.113／6.18.56／7.2.10（系列ごとにこれ以降）、7.3以降 |
| 公表日 | 2026年10月15日 |
CVSS（＝脆弱性の深刻さを0〜10点で表す世界共通の指標）の9.8は、最も高い「緊急」の区分です。ただし、Red Hatは暫定の評価として8.1としており、評価する機関によって点数は分かれています。米国の脆弱性データベース（NVD）は、まだ独自の評価をしていません（「Received」）。
なお、10月29日時点で、米国CISAの「実際に悪用が確認された脆弱性」の一覧（KEV）には載っておらず、IPA・JPCERT/CCからの注意喚起も出ていません。
CVE番号やCVSSの点数の読み方は、次の記事で解説しています。
どんなシステムが影響を受けるのか
Linuxのサーバーで、外からの接続を受け付けているもの
今回の欠陥は、サーバーが外からのTCP接続（Webサイトの表示やAPIの呼び出しなど、ほとんどのインターネットの通信）を受け付ける処理にあります。そのため、インターネットに公開しているLinuxのサーバーは、基本的に影響を受ける可能性があると考えておきましょう。Webサーバー、APIのサーバー、メールサーバーなどが当てはまります（筆者の見解）。
一方、使っているアプリやフレームワーク（WordPress・Laravel・Next.jsなど）を更新しても、この欠陥は直りません。直すには、サーバーのOSの中心部分であるカーネルを更新し、サーバーを再起動する必要があります。
先日のCVE-2026-99999とは別の脆弱性
10月16日にさくらインターネットが対応を発表したCVE-2026-99999も、Linuxカーネルのネットワーク処理の脆弱性でした。今回のCVE-2026-98432はそれとは別のものですが、修正が入ったカーネル本体の版はほぼ同じです。たとえばDebianでは、同じ更新（Debian 12の6.1.190-1など）で両方が直っています。CVE-2026-99999の対応でカーネルを更新し、再起動まで済ませていれば、多くの場合こちらも直っていると考えられます（念のため、開発会社やサーバー会社に確認してください）。
主なOSの対応状況（10月29日時点）
実際のサーバーでは、UbuntuやRed Hat Enterprise Linuxなどの「ディストリビューション」（＝Linuxを使いやすくまとめた配布版）が出す更新を当てるのが一般的です。
| OS | 状況 |
|---|---|
| Ubuntu | 26.10・26.04・24.04・22.04で修正版の準備中（work in progress）。まだ公開されていない |
| Debian | 12（bookworm）・13（trixie）で修正版を公開済み |
| Red Hat Enterprise Linux | 暫定の深刻度をCVSS 8.1と評価。同社の基準を満たす回避策は現時点でないとしている（製品ごとの修正状況は同社のページで確認） |
UbuntuやRed Hat Enterprise Linuxで動いているサーバーは、修正版が出たらすぐに当てられるよう、段取りを決めておきましょう。
発注者にとって何が変わるか／変わらないか
ここからは、公表された情報をもとにした筆者の見解です。
変わらないこと：今すぐシステムを止める段階ではない
執筆時点で、実際に悪用されたという公式の報告はありません。また、攻撃にはタイミングを合わせた通信が必要とされています。システムを止めるより、修正版が出ている環境では早めに更新し、まだ出ていない環境では出たらすぐ当てられるよう準備することが対応の中心になります。今後、悪用が確認された場合は、急ぎの対応が必要になります。
変わること1：OSの更新を誰が行うかで、やることが変わる
| サーバーの種類 | OSを更新するのは主に誰か |
|---|---|
| レンタルサーバー・マネージドサーバー | サーバー会社（多くの場合、利用者側の作業は不要） |
| VPS・クラウド（AWSのEC2など） | サーバーを管理している開発会社、または自社の担当者 |
| コンテナ（AWS ECS・Fargateなど） | カーネルは基本的にクラウド事業者側。ただし、自社で管理する仮想サーバーの上で動かしている場合は、その仮想サーバーのOSの更新が必要 |
| 社内のサーバー | 社内の情シス担当、または保守を任せている開発会社 |
自社のケースがどれに当たるかは、保守契約の範囲とあわせて確認しておきましょう。役割分担の考え方は、次の記事も参考にしてください。
変わること2：更新には「再起動」が必要
カーネルの更新は、多くの場合、サーバーを再起動しないと反映されません。再起動のあいだ、サイトやシステムが数分止まることがあります。いつ再起動するか、お客様への告知が必要かを、開発会社と決めておきましょう。
「『どこで動いているか』『OSの更新は誰の担当か』が分かれば、今回のようなOSの脆弱性のたびに慌てずに済みます。」
今やるべきこと・まだ様子見でいいこと
| 区分 | 内容 |
|---|---|
| 今やること | 自社のシステムが、どのOS（Ubuntu・Debian・Red Hat系など）のサーバーで動いているか、開発会社に確認する |
| 今やること | OSの更新を誰が行うか（サーバー会社・開発会社・自社）と、保守契約の範囲内かを確認する |
| 今やること | CVE-2026-99999の対応で、カーネルの更新と再起動が済んでいるか確認する |
| 早めに | 修正版が出ている環境（Debianなど）は、更新と再起動の日程を決める |
| 対応待ち | Ubuntu・Red Hat Enterprise Linuxなど、まだ修正版が出ていない環境は、出たらすぐ当てる段取りを決める |
| 様子見でよい | システムの停止（悪用が確認されたら検討） |
発注者がやること チェックリスト
- ☐ 自社のシステムが、どのOSのサーバーで動いているか把握した
- ☐ サーバーの種類（レンタルサーバー・VPS・クラウド・コンテナ・社内）と、OSの更新を誰が行うかを確認した
- ☐ CVE-2026-99999の対応で、カーネルの更新と再起動が済んでいるか確認した
- ☐ 修正版が出ていない環境があれば、出たときに誰がいつ当てるかを決めた
- ☐ 再起動の日時と、サイトが止まる時間、お客様への告知の要否を決めた
- ☐ 今回の更新が、保守契約の範囲内か別費用かを確認した
開発会社への質問例
- 「当社のシステムは、どのOSのサーバーで動いていますか？OSの更新はどなたが担当していますか？」
- 「Linuxカーネルの脆弱性（CVE-2026-98432）は、当社のサーバーに関係しますか？」
- 「先日のCVE-2026-99999の対応で、カーネルの更新と再起動は済んでいますか？それで今回の脆弱性も直っていますか？」
- 「修正版がまだ出ていない場合、出たらいつ当てられますか？再起動でサイトが止まる時間はどのくらいですか？」
- 「今回の対応は、保守契約の範囲で対応してもらえますか？」
まとめ
Linuxカーネルに、ログインしていない第三者が通信を送るだけで攻撃できるおそれのある脆弱性（CVE-2026-98432、CVSS v3.1で9.8）が公表されました。インターネットに公開しているLinuxのサーバーは、基本的に影響を受ける可能性があります。執筆時点で悪用の公式な報告はなく、Debianなどでは修正版が出ていますが、UbuntuやRed Hat Enterprise Linuxではまだ準備中です。
発注者がやるべきことは、自社のシステムがどのOSのサーバーで動いていて、OSの更新を誰が行うかを確認し、修正版への更新と再起動の段取りを開発会社と決めることです。先日のCVE-2026-99999の対応が済んでいれば、多くの場合こちらも直っているので、あわせて確認しましょう。
あわせて読みたい関連記事
