概要
米CISA(サイバーセキュリティ・インフラセキュリティ庁)は9月18日、実際に悪用が確認されているLinuxカーネルの脆弱性3件を既知の悪用脆弱性(KEV)カタログに追加した。対象はCVE-2025-39682(CVSS 9.8)、CVE-2026-53266(CVSS 8.8)、CVE-2025-39964(CVSS 7.8)で、いずれもLinuxカーネルの広範な利用状況を踏まえると影響範囲は大きいとみられる。BOD 26-04に基づき、連邦民間行政機関(FCEB)は2026年9月21日までにパッチ適用だけでなく、侵害の痕跡を調べる「フォレンジックトリアージ」の実施も義務付けられており、単なる更新作業を超えた対応が求められている。
3件の脆弱性の技術的詳細
最も深刻なCVE-2025-39682は、カーネルTLS(kTLS)の受信パスにおける不適切な条件処理に起因する。ゼロ長のレコードがrx_listから取得される際にrecvmsg()のレコード型処理がバイパスされ、後続のTLSレコードが誤ったゼロコピー・キューイングの前提で処理されてしまう。kTLSが有効な状態でTCPソケットに接続しているインターネット公開サービスは特にリスクが高く、認証済みローカルユーザーによる機密メモリの露出やサービス妨害(DoS)につながる可能性がある。
CVE-2026-53266は、netfilterのブリッジ機能であるebtablesのSNATターゲットに存在する境界外書き込みの脆弱性だ。ARP送信元ハードウェアアドレスの書き換え処理中に、skb_store_bits()が書き込み先範囲の妥当性を確認せずに呼び出されることが原因で、ローカル攻撃者によるメモリ破損、DoS、権限昇格を招く恐れがある。CVE-2025-39964はAF_ALG暗号インターフェースのレース条件で、同一ソケットへの並行書き込みが予測不可能な形でインターリーブされることで、システムクラッシュや暗号処理結果の破損を引き起こす可能性がある。Red Hatは9月19日時点で、これらの脆弱性を悪用する公開エクスプロイトの存在を確認している。
対応と背景
CISAが求める対応は、ベンダー提供のカーネルアップデート適用、再起動、パッチ適用後の検証にとどまらない。BOD 26-04では侵害の証拠がないか影響を受けた資産を調査するフォレンジックトリアージも必須とされている。緊急の緩和策としては、未使用のkTLS機能の無効化や、af_algモジュールの読み込み防止といった対策が推奨されている。なお、野生における具体的な悪用手法や攻撃チェーン内での使われ方については、現時点で詳細は公表されていない。
これらの脆弱性の顕在化は、研究者Asim Manizada氏が別途公表した4件のLinux権限昇格脆弱性(DirtyAH6、TUNderflow、PPPoEject、DiagSpill)の開示とも時期が重なっており、Linuxカーネルのセキュリティに対する注目が高まっている局面といえる。連邦機関以外の組織についても、KEVカタログを確認し、自組織のインフラにおける該当脆弱性への対処が強く推奨される。