米CISA、悪用確認のLinuxカーネル脆弱性3件を警告リストに追加 Red Hatも最優先対応を呼びかけ
要点
-
米CISAは、実際のサイバー攻撃で悪用が確認されたとして、Linuxカーネルに関する3件の脆弱性をKEVカタログに追加した。
-
対象となる脆弱性には、TLS受信処理、ebtablesのARP書き換え処理、AF_ALGソケット処理における不備が含まれ、最大でCVSS 9.8の深刻度が割り当てられている。
-
攻撃手法の詳細は明らかにされていないものの、Red Hatは公知のエクスプロイトが存在することを認め、最優先での対処を求めている。
-
米連邦文民機関に対しては、拘束的運用指令に基づき2026年9月21日までに修正パッチを適用することが求められている。
-
米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年9月18日、Linuxカーネルに影響を与える3件のセキュリティ脆弱性を「悪用が確認された脆弱性（KEV：Known Exploited Vulnerabilities）」カタログに追加したと発表した。実際の攻撃環境（in the wild）において悪用されている証拠が確認されたことに伴う措置となる。
-
あわせて、主要なLinuxディストリビューションを提供するRed Hatも関連するセキュリティアドバイザリを更新し、これらの脆弱性を狙った攻撃コードの存在を認めた。同社はユーザーに対し、高い優先度で修正を適用するよう注意を喚起している。
追加された3件の脆弱性と想定される影響
今回CISAがKEVカタログに追加したLinuxカーネルの脆弱性は以下の3件であり、メモリ情報の漏洩から権限昇格、サービス妨害まで多岐にわたる影響が報告されている。
-
CVE-2025-39682（CVSSスコア：9.8）
TLS（通信を暗号化するプロトコル）の受信パスにおける例外や異常な条件に対するチェックの不備に起因する脆弱性である。この欠陥により、ローカルで認証されたユーザーがメモリ内の情報を不正に開示させたり、システムのサービス妨害（DoS：システムを過負荷や異常終了に追い込んで利用不能にする攻撃）を引き起こしたりすることが可能になるとされる。3件の中で最も高い深刻度スコアが割り当てられている。 -
CVE-2026-53266（CVSSスコア：8.8）
イーサネットフレームのフィルタリングを行う「ebtables」において、Source Network Address Translation（SNAT：送信元ネットワークアドレス変換）のAddress Resolution Protocol（ARP：IPアドレスからMACアドレスを特定するプロトコル）書き換えパスに存在する境界外書き込みの脆弱性である。ローカルの攻撃者がこの脆弱性を突くことで、システムの予期せぬ動作を誘発させたり、DoSを引き起こしたりするほか、ローカルでの権限昇格（より上位の管理者権限などを不正に奪取すること）を実行できる可能性がある。 -
CVE-2025-39964（CVSSスコア：7.8）
Linuxの暗号化インターフェースであるAF_ALGソケットに対し、同一ソケットへの並行した書き込みが行われることで生じる競合状態（複数の処理が競合して予期せぬ結果を生む不具合）の脆弱性である。ローカルの攻撃者がシステムをクラッシュさせてDoSを引き起こすことや、実行中の暗号化処理の結果を破損させ、データの整合性に問題を生じさせることが可能になるという。
攻撃実態とRed Hatのアドバイザリ更新
現時点において、これら3件の脆弱性が実際の攻撃環境で具体的にどのように悪用されているのか、あるいは単一の攻撃チェーン（複数の脆弱性を連続して組み合わせる攻撃手法）として連鎖的に兵器化されているのかといった詳細な手口は公表されていない。
しかしながら、Red Hatは協定世界時（UTC）の2026年9月19日午前2時の時点で、該当する3件の脆弱性すべてについてセキュリティアドバイザリを更新し、野外での積極的な悪用が行われている事実を認めた。
Red Hatはアドバイザリの中で、「このCVEはリスクが高く、この脆弱性を利用した公知のエクスプロイト（攻撃実証コード）が存在する」と言及した上で、「この脆弱性には高い優先度で対処してほしい」と警告を発し、システム管理者らに警戒を促している。
米連邦機関への対応要請とLinuxカーネルを巡る動向
CISAによるKEVカタログへの追加を受け、米国の連邦文民行政府（FCEB）機関には迅速な対応が求められている。拘束的運用指令「BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）」の規定に基づき、対象機関は2026年9月21日までに必要な修正パッチを適用することが推奨されている。
今回の警告は、セキュリティ研究者のAsim Manizada氏によってLinuxカーネルに影響を与える4件のローカル権限昇格の脆弱性が開示された直後の出来事となる。Manizada氏によって公表された脆弱性は、CVE-2026-80844（通称：DirtyAH6）、CVE-2026-81000（通称：TUNderflow）、CVE-2026-68121（通称：PPPoEject）、CVE-2026-74469（通称：DiagSpill）の4件である。