重要ポイント
- Linux カーネルの IPv4 TCP 処理に use-after-free(解放済みメモリの参照)の欠陥(CVE-2026-98432)。Linux 4.4 以降が対象
- 深刻度: カーネル CNA の CVSS は 9.8、AWS は Important(CVSS 7.0)と評価。現時点で悪用の報告は見つかっていません
- Amazon Linux 2023: kernel6.18 と kernel6.12 は修正版を公開済み。標準の
kernel(6.1 系)は 2026年10月30日時点で修正待ち - 上流の修正版: 6.1.190・6.6.159・6.12.113・6.18.56 など
- 公開日: CVE は2026年10月15日(AWS の CVE ページ)。2026年10月29日に報道
追記(2026年10月31日): Amazon Linux 2023 の kernel(6.1 系)の修正版も公開されました(ALAS2023-2026-3365、kernel-6.1.189-236.400.amzn2023)。→ 続報の記事
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| Linux カーネル(上流) | 4.4 以降(IPv4 TCP) | 5.10.272・5.15.223・6.1.190・6.6.159・6.12.113・6.18.56・7.2.10・7.3 |
| Amazon Linux 2023(kernel6.18) | 修正前のもの | kernel6.18-6.18.56-125.164.amzn2023(ALAS2023-2026-3251、releasever 2023.12.20261026) |
| Amazon Linux 2023(kernel6.12) | 修正前のもの | kernel6.12-6.12.113-138.209.amzn2023(ALAS2023-2026-3335、releasever 2023.12.20261028) |
| Amazon Linux 2023(kernel、6.1 系) | 修正前のもの | 修正待ち(AWS の CVE ページで Pending Fix)。公開されたら続報でお知らせします |
| Amazon Linux 2(kernel) | — | 修正待ち(Pending Fix) |
対処: kernel6.18 を使っている場合は sudo dnf update kernel6.18 --releasever 2023.12.20261026、kernel6.12 の場合は sudo dnf update kernel6.12 --releasever 2023.12.20261028 を実行し、再起動して新しいカーネルで起動し直します。標準の kernel(6.1 系)は修正版が出るまで待つことになります。
確認: uname -r で動作中のカーネル、rpm -q kernel kernel6.12 kernel6.18 で入っているパッケージ、cat /etc/amazon-linux-release でリリースを確かめます。
概要
Linux カーネルの IPv4 TCP の接続確立処理に、競合状態による use-after-free の欠陥(CVE-2026-98432)が見つかりました。IP オプションを持つ接続要求への再送 SYN を別の CPU が処理するタイミングで、解放済みのメモリが参照される場合があります。Amazon Linux 2023 では kernel6.18 と kernel6.12 の修正版が出ており、標準の kernel(6.1 系)だけ修正待ちです。
影響と対処
影響を受けるもの
IPv4 の TCP を使うすべての Linux(4.4 以降)が対象です。IPv6 は、このうち最初の問題の影響を受けないとされています。深刻度の評価は機関で分かれ、カーネル CNA が CVSS 9.8、AWS が 7.0(Important)、Red Hat は 5.9〜8.1 としています。
悪用の状況: 2026年10月29日時点で、ベンダーの情報から悪用の報告は確認できていません。CISA の KEV にも載っていません。
どんな問題か
カーネルは接続要求のオプション領域を子ソケットに引き継ぐ際、解放のタイミングを RCU の猶予期間後にしていませんでした。そのため、別の CPU が同じ領域を読んでいる最中に解放されると、解放済みメモリへの参照が起きます。修正は、解放を RCU の猶予期間のあとに行うように変えるものです。
対処方法
利用中のカーネルの系列に合わせて、修正版へ更新して再起動します。Amazon Linux 2023 の標準カーネル(6.1 系)は修正版が未公開のため、公開され次第、速やかに更新してください。Red Hat は、導入しやすく大半の環境に向く回避策は現時点で見当たらないと判断しています。
確認方法
uname -r が 6.18 系なら 6.18.56 以上、6.12 系なら 6.12.113 以上かを確かめます。6.1 系は、AWS の CVE ページ(CVE-2026-98432)で Amazon Linux 2023 の状態を確認できます。
対応チェックリスト
- 動作中のカーネル(
uname -r)の系列を確認する - kernel6.18 / kernel6.12 を使っていれば、修正版へ更新して再起動する
- 標準の kernel(6.1 系)は、AWS の CVE ページで Fixed になるのを確認して更新する
- 再起動できないサーバーは、再起動の計画を立てる
出典
- CVE-2026-98432 – Amazon Linux Security Center(AWS)
- ALAS2023-2026-3251(AWS、2026年10月24日)
- ALAS2023-2026-3335(AWS、2026年10月29日)
- CVE-2026-98432 カーネル CVE レコード(Linux カーネル CVE チーム)
- Linux Kernel TCP Flaw With 9.8 CVSS Score(The Hacker News、2026年10月29日)
