2026年10月15日、Linuxカーネルの脆弱性「CVE-2026-98432」が公開されました。10月29日にはUbuntuの情報が更新され、Xでも注意を呼びかける投稿が見られます。
当記事では、何が見つかったのか、どんな人に関係があるのか、Ubuntuのサーバーなどでやることを、AI初心者向けにわかりやすく解説します。
CVE-2026-98432とは？Linuxカーネルの脆弱性（2026年10月15日公開）
IPv4の通信の処理で「使い終わったメモリ」を使ってしまう問題
CVE-2026-98432は、Linuxカーネル（OSのいちばん中心にある部品）の、IPv4のTCP通信を受け付ける処理にある脆弱性です。種類はUse-After-Free（解放した＝使い終わったはずのメモリを、後からまた使ってしまう不具合）です。
Ubuntuの説明によると、通信をつなぐ最初のやりとりの途中でやり直しの要求がほぼ同時に届くと、まだ使っている情報をカーネルが先に捨ててしまいます。捨てたメモリを読み書きしてしまうと、カーネルが止まったり、メモリの中身を書き換えられたりするおそれがあります。
なお、Ubuntuの説明では、IPv6はこの問題（1つ目の問題）の影響を受けないとされています（IPv6側の似た問題は、別の修正で扱う予定とされています）。
数字と日付：スコア9.8は誰の評価？
| 項目 | 内容（2026年10月30日時点） |
|---|---|
| 公開日 | 2026年10月15日（Ubuntu・NVD） |
| Ubuntuのページの最終更新 | 2026年10月29日 |
| Ubuntuの優先度 | 「高い」（High） |
| CVSS 3.1のスコア | 9.8（クリティカル）。採点したのはLinuxカーネルの開発元（kernel.org）で、Ubuntuも同じ値を使用 |
| NVD（米国の脆弱性データベース） | 独自の採点はまだ。kernel.orgの9.8を掲載 |
| Red Hatの評価 | CVSS 8.1。攻撃の条件が難しいと見て、kernel.orgより低く評価 |
CVSS（脆弱性の深刻さを0〜10で表す物差し）の9.8は、NVDではなくkernel.orgの評価です。Red Hatは主な影響を「システムが止まる（サービス停止）」と説明しています。評価する組織で点数が違う点は押さえておきましょう。
AnthropicがAIのClaudeを使って発見
AIの「Claude」を開発するAnthropicは、2026年10月27日の研究記事で、未公開の研究用モデル（Claude）を使って見つけた脆弱性の1つとしてCVE-2026-98432を取り上げました。研究記事によると、マルチパスTCP（MPTCP：複数の回線を同時に使って通信する仕組み）で通信を待ち受けているLinuxサーバーに対して、ログイン情報も利用者の操作もなしで、管理者（root）の権限で命令を実行できることを、実験で確かめたとしています。AIが守る側の道具として、OSの中心部分の弱点を見つけた例と言えるでしょう。
>>Claudeで重要なソフトの脆弱性を見つけた研究記事（Anthropic・英語）
CVE-2026-98432はどんな人に関係ある？
使い方別の早見表
この脆弱性は、外から届いた通信をLinuxが受け付ける処理にあるため、急ぎ度は「外からの接続を待ち受けているか」で大きく変わると考えられます。
| 使い方 | 関係 | やること |
|---|---|---|
| クラウド・VPSでLinuxサーバーを公開している | あり（いちばん急ぐ） | 修正済みのカーネルに更新して再起動 |
| 会社のLinuxサーバー（管理は担当者・業者） | あり | 担当者・保守業者に対応を確認 |
| レンタルサーバー（共用）でWordPressなど | OSの管理はサーバー会社 | 利用者の作業は基本なし。サーバー会社のお知らせを確認 |
| WindowsのWSL2 | 可能性あり（急ぎ度は低め） | WSLを最新に更新 |
| Docker（Linuxサーバー上・Docker Desktopを含む） | あり | コンテナではなく、動かしているサーバーのカーネルを更新 |
| VirtualBox・Hyper-Vなどの仮想マシンのLinux | あり | 仮想マシンの中のLinuxを更新 |
| WindowsやMacだけ（WSL2・Docker Desktop・仮想マシンなし） | なし | 何もしなくてよい |
クラウド・VPSでサーバーを公開している人は最優先
インターネットに向けてポート（通信の入口）を開けているLinuxサーバーは、外の誰からでも攻撃の通信が届くため、いちばん急いで対応したい人です。Webサイトやゲームのサーバーなどを自分で動かしている場合です。
Go言語のセキュリティチームは10月29日（米国時間）、Go 1.24以降のプログラムはLinuxでの待ち受けにマルチパスTCPを標準で使うと注意を呼びかけました。ただし、不具合はマルチパスTCPだけのものではなく、いちばんの対策は修正済みのカーネルへの更新だとしています。
>>Go言語セキュリティチームのお知らせ（oss-securityへの転載・英語）
WSL2・Docker・仮想マシンを使っている人
WSL2（WindowsでLinuxを動かす仕組み）は、小さな仮想マシンの中で本物のLinuxカーネルを動かしています。このカーネルはMicrosoftが作って配っています。自宅のパソコンのWSL2は、ふつうはインターネットから直接つながる入口がないため、サーバーより急ぎ度は低いと考えられます。それでも、WSLは最新にしておきましょう。
Dockerは、Linuxカーネルの機能を使ってコンテナを動かす仕組みです。コンテナを作り直してもカーネルの脆弱性は直らないため、動かしているサーバー（またはWSL2・仮想マシン）のカーネルを更新します。なお、今回の脆弱性についてのMicrosoftやDockerの発表は、10月30日時点で見つかっていません。
レンタルサーバー（共用）でWordPressを使っている人
共用のレンタルサーバーでは、OSやカーネルの管理はサーバー会社が行うのが一般的で、利用者はカーネルを更新できません。サーバー会社の「お知らせ」を確かめておけば十分です。ただし、VPSは自分で管理するものなので、後の章の手順が必要です。
▶ 関連記事：PHPの脆弱性「PHP2Shell」に注意！ファイアウォールにも侵害の跡、WordPressのサイトは大丈夫？
CVE-2026-98432はどれくらい危ない？
優先度「高い」とスコア9.8の意味
CVSSの9.8は、「ネットワーク越しに」「難しい条件なしで」「ログインなしで」「利用者の操作なしで」攻撃でき、情報が盗まれる・書き換えられる・止められるのすべてが大きい、という前提の点数です。Ubuntuはこのスコアをもとに優先度を「高い」としています。
一方、Red Hatは攻撃のタイミングを合わせるのが難しいとして8.1と評価しています。どちらの評価でも、外にサーバーを公開している人にとっては、早めに対応すべき脆弱性であることに変わりはありません。
「遠隔から命令を実行」はどこが言っている？
「遠隔から命令を実行されるおそれ」は、Anthropicの研究記事と、それを引いたGo言語のセキュリティチームのお知らせの内容です。実験はマルチパスTCPで待ち受けるサーバーが対象でした。
Ubuntu・NVD・Debianの説明は不具合の仕組みを書いたもので、「命令を実行できる」とまでは書いていません。Red Hatは主な影響をサービス停止としています。つまり、「どんな環境でも外から乗っ取られる」とまでは言い切れませんが、条件によっては乗っ取りまで実験で示されている、という受け止め方がよいでしょう。
実際の悪用は報告されている？
2026年10月30日時点で、実際の攻撃に使われたという公式の報告は見つかっていません。NVDの記録にも、米国CISAの「悪用が確認された脆弱性の一覧」への登録はありません。JPCERT/CCとIPAの注意喚起も、まだ出ていません。
ただし、研究記事で攻撃の概要が公開されているため、今後まねをした攻撃が出てくる可能性はあります。国の注意喚起は次のまとめページで確認できます。
▶ 関連記事：セキュリティ注意喚起まとめ【最新順】国家サイバー統括室・IPA・JPCERTの発表
CVE-2026-98432の対策：Ubuntu・WSL2でやること
手順1：自分のバージョンが修正済みか確かめる
UbuntuのCVEページには、Ubuntuのバージョン（22.04、24.04など）とカーネルの種類ごとに、修正の状況が載っています。10月29日の更新の時点では、22.04・24.04・26.04の標準カーネルや主なクラウド向けは「修正を準備中」（Raspberry Pi向けなど一部は「影響あり」のまま）、20.04以前は「影響あり」の表示でした。表示が「修正済み」（Fixed）に変わったか、自分のバージョンの行で確かめましょう。なお、Debianは安定版向けの修正済みカーネルをすでに出しています。
手順2：Ubuntuをアップデートして再起動する
修正済みのカーネルは、ふだんどおりのアップデートで入ります。Ubuntuの公式ドキュメントの手順は、一覧を新しくしてから更新を入れる2段階です。
sudo apt update
sudo apt upgradeカーネルの更新は、入れただけでは効かず、再起動して新しいカーネルで動かす必要があります。Ubuntuの公式ブログでは、Ubuntu Proのツールで再起動が必要かを確かめる次のコマンドを紹介していて、更新した版だけで動いている状態にするいちばん簡単な方法は、再起動することだとしています。
pro system reboot-requiredUbuntuのサーバーは、初期設定でセキュリティ更新を毎日自動で入れます。自動で入った場合も、新しいカーネルで動かすには再起動が必要なので、利用者の少ない時間に再起動の予定を入れておきましょう。
>>パッケージ管理（Ubuntu Server公式ドキュメント・英語）
>>アップデートのベストプラクティス（Ubuntu公式ブログ・英語）
手順3：すぐに再起動できないならLivepatchも検討
Livepatch（ライブパッチ）は、Ubuntu Proの機能で、動いているカーネルに再起動なしでセキュリティの修正を当てる仕組みです。Ubuntuの公式ブログによると、次の再起動までの間を守るもので、カーネルの更新も別に入れる必要があります。
今回の脆弱性にLivepatchの修正が出るかは、10月30日時点でUbuntuのCVEページに書かれていません。更新と再起動を基本にしましょう。
WSL2を使っている人：WSLを更新する
今回の修正がWSL2のカーネルに入ったというMicrosoftの発表は、10月30日時点で見つかっていません。修正版が配られたときにすぐ入るよう、WSLを最新にしておきましょう。Microsoftの公式ドキュメントでは、PowerShellかコマンドプロンプトで次のコマンドを実行すると、WSLを最新に更新できるとしています。
wsl --update更新したあとは、1行目でWSL2をいったんすべて止め、新しいカーネルで起動し直せるようにします。2行目はカーネルの版などを確かめるコマンドです。WSL2の中のUbuntuも、手順2のアップデートで更新しておきましょう。
wsl --shutdown
wsl --status>>WSLの基本的なコマンド（Microsoft Learn）
※2026年10月30日時点・Ubuntu（10月29日更新）、NVD、Red Hat、Debian、Anthropic、Go言語セキュリティチーム、Microsoftの公式情報より
【まとめ】CVE-2026-98432は、サーバーを公開している人から更新と再起動を
CVE-2026-98432は、LinuxカーネルのIPv4の通信の処理にある脆弱性で、kernel.orgの評価でCVSS 9.8、Ubuntuの優先度は「高い」です。クラウドやVPSでサーバーを公開している人は、修正済みのカーネルが出たらすぐに更新して再起動しましょう。WSL2の人はWSLを最新に、WindowsやMacだけを使っている人は何もしなくて大丈夫です。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年10月30日時点のものです。
