未修正のUbuntuでコンテナ脱出が可能な脆弱性が判明、ホストの管理者権限を奪う実証コードが公開

要点

• Linuxカーネルの通信機能に存在する解放後メモリ使用の脆弱性「CVE-2026-80521」が悪用可能であることが判明した。

• セキュリティ企業DepthFirstが、コンテナ内部からホストOSのroot権限を奪取して脱出する実証コードを公開した。

• カーネル本家では修正パッチが提供されているものの、Ubuntuの主要LTS版では未修正の状態が続いている。

• 脆弱性の発見にはAIモデルが活用されており、同社はコンテナ単体でのセキュリティ境界に警鐘を鳴らしている。

• セキュリティ企業のDepthFirstは2026年9月22日、Linuxカーネルの「AF_UNIX」ソケット機能に深刻な脆弱性が存在し、コンテナ環境からホストOSの最高管理者権限（root）を取得して脱出できることを実証したと発表した。あわせて、Ubuntu 26.04を標的としたエクスプロイト（実証コード）も公開されている。

• 本脆弱性は「CVE-2026-80521」（CVSSスコア7.8）として追跡されている。Linuxカーネル本家ではすでに修正パッチが取り込まれているが、Ubuntuの主要な長期サポート版（LTS）では依然として修正版パッケージが提供されておらず、多くのシステムが影響を受ける状態にあるという。

脆弱性の概要とUbuntuにおける未修正の現状

今回公表された脆弱性は、Linuxカーネル内でローカルプロセス間通信を担う「AF_UNIXソケット」のガベージコレクター（不要になったメモリ領域を自動回収する機能）に存在する。メモリ管理の不備によって発生する解放後メモリ使用（Use-After-Free：一度解放されたメモリ領域を誤って再参照してしまう不具合）に起因するものだ。

この不具合はLinuxカーネル6.10で初めて混入し、安定版の6.1や6.6にもバックポート（過去バージョンへの適用）されていた。カーネル本家（アップストリーム）では2026年8月6日にメインライン版の7.2および安定版の7.1.10においてパッチが適用されている。

一方で、ディストリビューション側の対応は遅れている。Ubuntuのセキュリティ追跡サイトによると、最新のUbuntu 26.04をはじめ、24.04や22.04といった主要なLTSリリースにおいて、標準パッケージやAWS、Azure、GCPといった主要クラウド向けのカーネルパッケージが影響を受けるとされている。ステータスはいずれも「脆弱性あり、対応作業中（work in progress）」となっており、修正の配信時期は明示されていない。

なお、米サイバーセキュリティ・インフラセキュリティ庁（CISA）の悪用確認済み脆弱性カタログには登録されておらず、本脆弱性を悪用した実際のサイバー攻撃は現時点では確認されていない。

通常のシステムコールでコンテナの隔離境界を回避

本脆弱性が重大視されている背景には、コンテナのセキュリティ機構を容易にすり抜けられる点がある。

AF_UNIXソケットはプロセス間でファイルディスクリプタ（OSがファイルを操作・識別するための識別番号）を受け渡す機能を備えており、その解放処理をガベージコレクターが担っている。このソケット通信は、DockerやKubernetesの標準的なseccompプロファイル（プロセスが呼び出せるシステムコールを制限するセキュリティ機能）において、デフォルトで許可されている。

脆弱性の原因は、ガベージコレクター内に潜む競合状態（Race Condition：複数の処理が同時に発生して意図しない動作を引き起こす現象）にある。データがキューに並ぶ前に新しい参照を誤認し、処理の最中にソケットの一部を解放しながらも内部のリストにポインタが残ってしまう。その後の回収処理でこのポインタを辿ることで、解放済みのメモリ領域へ不正にアクセスが行われる仕組みだ。

エクスプロイトは、コンテナ内から実行が許可されている通常のシステムコールのみを利用してカーネルに到達する。そのため、Linuxの名前空間（namespace）による分離やcgroupによるリソース制限、さらにはseccompによるフィルタリングといった、コンテナが備える主要な隔離レイヤーをことごとく回避してホストのroot権限を奪取できるという。

AIモデルによる脆弱性発見と報告のタイムライン

この欠陥の特定には、AI技術が大きく寄与したことが明らかになっている。DepthFirstによると、脆弱性検出に特化して訓練された独自のAIモデル「dfs-large1」と、人間が操作するテストハーネスを連携させることで発見に至ったという。

同社は2026年7月24日にGoogleの報奨金プログラム「kernelCTF」でスロットを獲得し、8月5日にカーネルセキュリティチームへ問題を報告した。しかし、カーネルメンテナ側からは、OpenAIの研究者からも独自に同様のバグ報告が寄せられていた旨が返答された。なお、カーネルの修正コミットログでは、脆弱性研究者のKyle Zeng氏が報告者としてクレジットされている。

2026年に入り、AIを活用した研究によってコンテナ脱出を可能にするカーネル脆弱性が相次いで見つかっている。7月に公表されたfutex関連の脆弱性や、4月に判明した暗号サブシステムの欠陥なども、同様に非特権ユーザーからのroot昇格を可能にするものであり、いずれの発見にもAI研究が関与していた。

推奨される回避策とセキュリティ境界の再考

現時点で、DepthFirstおよびUbuntuから公式な暫定回避策（ワークアラウンド）は案内されていない。影響を受けるカーネルを運用する組織に対しては、アップストリームのパッチを直接適用することが選択肢として挙げられている。

またDepthFirstは、信頼できないワークロードを実行する環境では、コンテナ単体ではなく「Firecracker」や「Kata Containers」のようなmicroVM技術を用いた隔離環境へ移行することを推奨している。microVMはワークロードごとに専用の独立した軽量カーネルを割り当てるため、ホストカーネルを共有するコンテナに比べてより強固な隔離が可能となる。

脆弱性追跡データベース「LinuxCVETracker」のデータによると、2026年に公開されたLinuxカーネルのCVE数はすでに5,700件近くに達しており、年間最多記録を更新している。DepthFirstは、AIの活用によって脆弱性発見のペースが急加速した結果、カーネルを標的としたコンテナ脱出のハードルが著しく低下したと指摘。「攻撃者が意のままにコンテナを突破できると想定すべき段階に来ており、コンテナを強固なセキュリティ境界として過信すべきではない」との見解を示している。