Linuxの重大脆弱性「CVE-2026-98432」　Claudeが二段階の遠隔攻撃を実証

※記事を視覚化したイメージであり、実際の事象とは異なります。

2026.10.30

本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]

Anthropicは2026年10月27日、未公開の研究用Claudeが作成した攻撃コードにより、Linuxの脆弱性「CVE-2026-98432」を利用して遠隔からroot権限でコマンドを実行できたと報告した。実証対象はマルチパスTCP（MPTCP）の待ち受けサーバーで、認証情報や利用者の操作は必要なかったという。

MPTCPサーバーで実証、攻撃は二段階

今回の報告は、未公開の社内研究モデルを使った脆弱性調査の成果だ。脆弱性についてはUbuntuが10月15日公開の公式情報で説明しており、Anthropicの記事では具体的な遠隔コマンド実行の実証結果が示された。

問題の性質は、複数の処理が競合することで、解放済みのメモリーを使用してしまう「解放後使用（UAF）」だ。Ubuntu掲載の技術説明によると、IPv4のTCP接続処理で、別のCPUが参照しているIPオプション用メモリーを解放する可能性がある。

Anthropicは、カーネルのメモリー配置を把握する段階と、プログラムの制御の流れを変更してコマンド実行に至る段階を分けて説明している。カーネルポインターの漏えいまでに48分、そこからコマンド実行までにさらに5分を要したという。これは実証攻撃の所要時間であり、一般的な攻撃時間を示すものではない。

脆弱性自体はIPv4 TCPの接続処理に関するものだが、Anthropicが遠隔からのroot権限実行を実証した対象はMPTCPの待ち受けサーバーだ。MPTCPを利用しないサーバーでも同じ攻撃が成立するかは、今回の実証では示されていない。

上流では修正反映、Ubuntuは複数版で対応中

Ubuntu公式情報は、深刻度を示すCVSS v3.1の基本値を9.8、区分を「Critical」と評価している。一方、Ubuntu内での対応優先度は別項目で「High」としている。

修正について、Anthropicは10月27日公開の記事で、上流で修正され、保守中の全安定版ブランチにも修正が取り込まれたと説明した。Ubuntu掲載の説明では、メモリー解放をRCUの猶予期間後に行う方式へ変更する。IPv6は最初の問題には影響されないが、関連する移行処理の問題は別のパッチで扱うとしている。

配布パッケージへの対応は、上流での修正反映とは段階が異なる。Ubuntuの10月29日更新の公式情報では、標準linuxパッケージの26.10、26.04 LTS、24.04 LTS、22.04 LTSが脆弱で修正作業中と記載され、20.04 LTSなども脆弱とされている。