主要Linuxディストリビューションに15年前から潜む脆弱性「GhostLock」が判明、ルート権限奪取やコンテナ脱出が可能に

要点

• Linuxカーネルに15年前から存在する脆弱性「GhostLock（CVE-2026-43499）」が公開され、一般ユーザーがルート権限を完全に奪取できることが判明した。

• 2011年以降のほぼすべての主要Linuxディストリビューションにデフォルトで搭載されており、コンテナ環境からホスト環境へ脱出するコンテナエスケープも可能となる。

• セキュリティ企業が開発したAI駆動のバグ発見ツールによって検出され、検証では97%という高い信頼性でルート権限を奪取する実証コードが動作している。

• 脆弱性は2026年4月に修正されたが、その後に別のバグが誘発されたため、単に最初の修正版を適用するだけでなく、最新のカーネルへの更新が必要である。

• 2026年には「Bad Epoll」など自動化ツールによって発見されたLinuxカーネルの古いコードに関する脆弱性が相次いでおり、実社会での悪用も警戒されている。

• 米国のセキュリティニュースサイト「The Hacker News」によると、セキュリティ企業Nebula Securityの研究者らが、Linuxカーネルに15年前から存在していた脆弱性「GhostLock」（CVE-2026-43499）を公表した。この脆弱性は、システムにログインしているローカルユーザーが、特別な権限や設定なしにフルルート権限（システムに対するすべての操作権限）を奪取することを可能にするという。発表は2026年7月8日に行われ、同社は検証において97%の信頼性で動作し、コンテナ環境から脱出することもできる実証コードを公開した。

脆弱性の概要と影響範囲

Nebula Securityによると、この脆弱性を引き起こすコードは、2011年以降にリリースされたほぼすべての主要なLinuxディストリビューション（Linuxカーネルをベースに構築されたOSパッケージ）にデフォルトで搭載されている。悪用にはシステムへのログインが必要なため、共通のサーバーを複数の契約者で共有するマルチテナント環境や、クラウドサーバー、コンテナ環境、CI/CD（ソフトウェアのビルドやテストを自動化するプロセス）のランナーなどが、最も攻撃の足がかりとされやすい。

本脆弱性の共通脆弱性評価システム（CVSS）のスコアは、攻撃者がローカルのログイン権限を事前に持っている必要があることから、10点満点中「7.8」（警告レベル）と評価されている。現時点で野生での悪用事例は確認されていない。なお、Googleはこのバグ報告に対し、同社のバグ報奨金プログラム「kernelCTF」を通じて9万2,337ドルを同チームに授与した。

脆弱性の動作メカニズム

本脆弱性は、Linuxカーネルに搭載されている、優先度の高いタスクが低いタスクに阻まれて滞るのを防ぐ仕組みで発生する。通常、この仕組みではタスクが待機状態から脱した後にクリーンアップ処理（不要になったメモリ領域を整理する手順）を実行する。

しかし、ロック処理が行き止まりになり、処理を元に戻さなければならない稀な状況において、このクリーンアップ処理が誤ったタイミングで実行されてしまうという。その結果、本来消去すべきではない別のタスクの記録を誤って削除してしまう。

この誤消去により、カーネル内にはすでに破棄されて別の用途に再利用されているはずのメモリ領域を指し示すポインタ（メモリ上の位置情報）が残されてしまう。この古いポインタにカーネルがアクセスしてしまう不具合は「Use-After-Free」（メモリ解放後使用）と呼ばれる。Nebulaのチームは、このメモリ不具合を利用した手順を組み合わせ、カーネルを誤認させて自作コードを最上位権限の「root」ユーザーとして実行させた。テスト環境では、この処理はわずか5秒ほどで完了したという。

推奨される対策と提供状況

この脆弱性「GhostLock」は2026年4月にLinuxカーネルの上流で修正され、修正コミット「3bfdc63936dd」が公開された。しかし研究者らは、単に最初の修正が適用されただけのビルドではなく、各ディストリビューションが提供する最新のカーネルをインストールするよう強く求めている。最初の修正パッチが原因となって、システムがクラッシュする別の脆弱性「CVE-2026-53166」が誘発されたためである。

また、本脆弱性をトリガーする処理はローカルプロセスにとって日常的な操作であるため、回避策は存在しない。緩和策として機能するビルドオプション「RANDOMIZE_KSTACK_OFFSET」および「STATIC_USERMODE_HELPER」もあるが、根本的な解決策にはならない。

パッチの提供状況は一様ではなく、7月上旬時点でUbuntuのいくつかのLTS版（長期サポート版）については依然として脆弱であるか対応中とリストされている。そのため、ユーザーは利用しているディストリビューションのアドバイザリを確認し、修正済みの具体的なバージョンを確認することが推奨されている。

相次ぐLinuxカーネル脆弱性と自動化ツールの台頭

本脆弱性「GhostLock」は、AI駆動の脆弱性探索ツール「VEGA」によって発見された。2026年にはLinuxの権限昇格を可能にする脆弱性が相次いで公表されており、その多くが自動化ツールによって発見されている。

「GhostLock」が公開される数日前には、一般ユーザーがroot権限を奪取できる脆弱性「Bad Epoll」（CVE-2026-46242）が公表された。これらに共通しているのは、2011年に導入された「Futexの優先度継承」など、長年見直されてこなかったカーネルの基本機能である点だ。自動化された解析ツールがこれら古いコードを精査し始めたことにより、長年見逃されていたバグが相次いで浮き彫りになっている。

また、2026年4月に公開された脆弱性「Copy Fail」（CVE-2026-31431）は、CISAの「実際に悪用が確認された脆弱性カタログ」にすでに掲載されており、現実の攻撃で悪用されている。なお、今回発見された「GhostLock」は、同社が「IonStack」と呼ぶ2段階の攻撃チェーンの後半にあたり、前半部分であるFirefoxの脆弱性「CVE-2026-10702」と組み合わせることで、ブラウザ内で任意のコードを実行し、その保護環境（サンドボックス）を突破した上で、最終的にホストOSのルート権限を完全に掌握するという一連の攻撃シナリオが実証されている。