米国CISAの「Known Exploited Vulnerabilities(KEV)」カタログに、Linuxカーネルの脆弱性CVE-2026-46300が2026年10月28日付で追加されました。これは実際に悪用が確認された脆弱性としてCISAが公式に認定したものであり、Linuxカーネルを利用するサーバー、クラウド基盤、組込み機器などを運用するすべての管理者が影響対象になります。CISAはこの脆弱性が他の2件のCVE(CVE-2026-109618、CVE-2026-109619)と連鎖的に悪用され、PHPウェブシェルの設置とroot権限でのコマンド実行につながると説明しています。ESP(Encapsulating Security Payload)はIPsecでパケットを暗号化・認証するための仕組みであり、VPNゲートウェイやクラウド間の暗号化通信、社内拠点間接続など幅広い場面で利用されているため、該当処理に不具合があると影響範囲は想定以上に広くなります。本記事では公式情報に基づき、影響範囲・深刻度・対応手順を整理します。
脆弱性の概要と影響を受ける製品
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-46300 |
| ベンダー | Linux |
| 製品 | Kernel |
| 脆弱性名 | Linux Kernel Missing Initialization of a Variable Vulnerability |
| CWE分類 | CWE-456(変数の初期化漏れ) |
| KEVカタログ追加日 | 2026年10月28日 |
| 米連邦機関の対応期限 | 2026年10月31日 |
公式説明によれば、本脆弱性はソケットバッファの結合(coalescing)処理において共有フラグメントを示すマーカーが保持されないことに起因します。この初期化漏れにより、ESP(Encapsulating Security Payload)の入力処理が共有されているフラグメントをその場で復号してしまい、ページキャッシュ上のデータが意図せず書き換えられる可能性があります。CWE-456は「変数が初期化される前に使用される」という古典的な実装不備のカテゴリで、カーネルのような低レイヤーの処理で発生すると、メモリ上の予期しない領域が参照・書き換えされるリスクに直結します。本件では特に、本来であれば独立しているはずの共有フラグメントが「その場(in-place)」で復号されることで、別プロセスやキャッシュ上にある既存データが意図せず改変される点が問題の核心です。影響を受ける具体的なカーネルバージョンの範囲については、詳細はベンダーのセキュリティアドバイザリを確認してください。
深刻度と悪用状況
CVSS 3.1スコアは7.8(HIGH)で、ベクトルはAV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hと公開されています。攻撃元はローカル(AV:L)であり、攻撃条件の複雑さは低く(AC:L)、低い権限(PR:L)があれば利用者の操作(UI:N)なしに攻撃可能です。影響については機密性(C)・完全性(I)・可用性(A)のいずれも「高」と評価されており、成立すれば非常に大きな被害につながる脆弱性です。攻撃元がローカルに限定されているとはいえ、クラウド環境の共有ホスト、コンテナ基盤、マルチテナント環境などではすでに低権限のアクセスを獲得している攻撃者が足がかりとして悪用しやすい点に注意が必要です。
CISAはこの脆弱性を「実際に悪用が確認された脆弱性」としてKEVカタログに登録しており、単独の悪用だけでなく、CVE-2026-109618およびCVE-2026-109619と組み合わせることでPHPウェブシェルを設置し、root権限でコマンドを実行する攻撃チェーンが成立すると明記しています。ランサムウェアでの悪用については「不明」とされていますが、root権限奪取につながる以上、優先度を下げるべき理由にはなりません。米連邦機関には2026年10月31日までの対応が求められており、民間企業でも同等の緊急度で対応することが推奨されます。
ベンダーはどんな修正を行ったか
Linuxカーネルの公式リポジトリ(git.kernel.org)には、本脆弱性に対応する複数の修正コミットが公開されています。公式情報で提示されているコミットは以下の通りです。
- 3599e6b3cc1ada96883d496a50a210d3afbb6987
- 2f2b16022a2e10ca7bccfb98db5ed2ec0f72641c
- 9d3e5fd19fe1063bf607219e8562fbd567b8e8d5
- 78bf6b6bb19541d19fbda6242e7cfe2c682763c0
- 760e1addc27ba1a7beb4a0a7e8b3e9ec49e7a34e
- 3bd9e113d50034db99d7ef69fd8e5242d15e414a
- 3884358a9286b17f389a72b1426fc4547c23c111
- f84eca5817390257cef78013d0112481c503b4a3
これらの修正は、ソケットバッファ結合処理で共有フラグメントのマーカーを正しく保持・初期化することで、ESP入力処理が共有フラグメントをその場で誤って復号してしまう問題を防ぐものと説明されています。複数のコミットに分かれているのは、カーネルの安定版ブランチごとに個別のバックポートが必要なためと考えられ、利用しているディストリビューションがどのコミットを取り込んでいるかはパッケージのチェンジログで確認できます。具体的な修正適用バージョンやディストリビューションごとの提供状況については、詳細はベンダーのセキュリティアドバイザリを確認してください。
IPsec/ESPを利用する環境で特に注意すべき点
本脆弱性はESP入力処理に関わるため、IPsecによるVPN接続やサイト間暗号化通信を構成しているサーバー・ネットワーク機器では優先的な確認が必要です。具体的には、カーネル内のIPsec/ESP関連モジュール(XFRMサブシステムなど)を使用しているかどうか、strongSwanやLibreswanといったIPsecスタックを稼働させているホストが社内にどれだけ存在するかを棚卸しすることが第一歩になります。また、クラウド事業者が提供するマネージドVPNサービスを利用している場合でも、基盤側のカーネルバージョンに依存するため、自社管理外のコンポーネントについてはクラウド事業者の告知や対応状況を確認する必要があります。IPsecを利用していない環境であっても、カーネル自体の脆弱性である以上、無関係とは言い切れない点に留意してください。
今すぐやるべき対策手順
CISAのガイダンスでは、BOD 26-04(リスクに基づくセキュリティアップデートの優先順位付け)および「Forensics Triage Requirements」に従った対応が求められています。以下の順序で対応を進めてください。
- 手順1:バージョン確認 —
uname -rなどで稼働中のカーネルバージョンを確認し、利用しているディストリビューションのセキュリティ情報と照合します。本番環境だけでなく、開発・ステージング環境や、長期間再起動していないサーバーも見落としがちなので棚卸し対象に含めてください。 - 手順2:アップデートの適用 — ディストリビューション(RHEL、Ubuntu、Debianなど)が提供する修正済みカーネルパッケージを適用し、再起動して反映させます。カーネル更新はライブパッチが利用できる場合を除き再起動が必須となるため、事前にメンテナンスウィンドウを確保しておくとスムーズです。
- 手順3:回避策の検討 — 直ちにパッチ適用できない場合は、CISAの指示に従い、ベンダーの手順に沿った緩和策を実施してください。クラウドサービスの場合はBOD 26-04のクラウド向けガイダンスに従い、緩和策が提供されない場合は該当サービスの利用停止も検討対象になります。また、資産ごとのインターネット露出状況を評価し、不要な外部アクセスやローカルアクセス経路を制限することも有効です。特に不特定多数のユーザーがログインできる共有サーバーやコンテナホストでは、ローカル権限の悪用を前提としたアクセス制御の見直しが優先度の高い対策になります。
- 手順4:侵害有無の確認 — 公式説明にあるPHPウェブシェル設置やroot権限での不審なコマンド実行の痕跡がないか、Webサーバーのファイル変更履歴、認証ログ、root権限での不審なプロセスをフォレンジック的に確認します。CISAの「Forensics Triage Requirements」も参考にしてください。
よくある質問
Q1. CVE-2026-46300だけ対応すれば安全ですか?
A. 公式情報では、この脆弱性はCVE-2026-109618・CVE-2026-109619と連鎖して悪用されるとされています。これら関連CVEの対応状況も併せて確認することが重要です。
Q2. 攻撃はリモートから可能ですか?
A. CVSSベクトルの攻撃元(AV)は「ローカル(L)」と評価されています。ただし低い権限があれば悪用可能(PR:L)なため、他の脆弱性との組み合わせによるリスクを軽視すべきではありません。
Q3. パッチ適用まで時間がかかる場合、何を優先すべきですか?
A. CISAのガイダンスに沿って、まずインターネットに露出している資産や複数ユーザーがアクセスできる共有環境を優先的に洗い出し、アクセス制限などの緩和策を講じながら、パッチ適用のスケジュールを前倒しすることが推奨されます。
まとめ
CVE-2026-46300はCVSS 7.8(HIGH)と評価され、CISAのKEVカタログに実際の悪用が確認された脆弱性として登録されています。単独でもページキャッシュ上のデータ改ざんにつながり、他のCVEと連鎖するとroot権限でのウェブシェル実行という重大な結果を招きます。米連邦機関の対応期限は2026年10月31日とされており、すでに過ぎている、または迫っている組織は最優先でカーネルのバージョン確認とアップデート適用、侵害有無の確認を進めてください。IPsec/ESPを利用する環境や共有ホスト環境を運用している場合は特に優先順位を上げ、関連CVEの対応状況も含めて継続的に確認していくことが重要です。
