RHELに「CVSS9.8」の重大脆弱性、修正版公開…OpenShiftなど未修正製品は大丈夫か

　レッドハットは11月1日、Linuxカーネルの脆弱性CVE-2026-98432に対応する、Red Hat Enterprise Linux（RHEL）向けの修正版を公開した。IPv4のTCP接続処理で起きるuse-after-free（解放済みメモリーの再利用）で、共通脆弱性評価システム（CVSS）v3の基本スコアは9.8。同社は重大度を最上位の「Critical」としている。

　同社のセキュリティ速報RHSB-2026-016によると、認証が不要なリモートの攻撃者が、TCP接続要求の処理中に起きる競合状態を突き、解放されたソケットオプションを別の処理が参照する状況を引き起こすおそれがある。ユーザーの操作は要らない。

　影響の書き方は一様ではない。速報は「リモートコード実行」を引き起こし得ると記す。一方、CVEの情報ページは主な結果をシステムクラッシュによるサービス拒否（DoS）またはメモリー破壊とし、任意のコード実行を確実に行うには精密なヒープ制御が必要だと説明している。DoSやメモリー破壊が中心で、条件次第でコード実行の可能性もある、という整理になる。

　影響を受けるのは、RHEL 8、RHEL 9、RHEL 10とRed Hat OpenShift Container Platformだ。kernelパッケージの修正版は、RHEL 10向けが「RHSA-2026:93413」、RHEL 9向けが「RHSA-2026:93412」、RHEL 8向けが「RHSA-2026:93414」で、いずれも11月1日付となる。RHEL 6と7は脆弱なコードがなく、影響を受けない。

　一方、RHEL 9のリアルタイムカーネル（kernel-rt）やOpenShiftのCoreOSイメージは、同日更新のCVE情報ページで「影響あり」のままで、修正版の記載はない。

　暫定対策として、IPオプションを含むIPv4のTCPパケットを受信時に破棄するnftablesのルールを示した。通常のTCPオプションはTCPヘッダーに含まれるため、一般的な業務通信への影響は小さいとする。ただし攻撃を完全には防げず、本番環境に入れる前に自社の通信で検証するよう求めている。修正版を適用した後は、このルールを削除する。

　同社は、カーネルの更新が唯一の完全な解決策だと強調している。

　CVE-2026-98432は10月15日に公開されていた。OSやブラウザで深刻な脆弱性の発見が相次ぐ中での公表となった。