
2026/11/02 23:52
何ですか?Ubuntu
RSS: https://news.ycombinator.com/rss
要約▶
日本語翻訳:
Ubuntu Linux は、競合するディストリビューションがすでにパッチを適用したにもかかわらず、2 週間以上も重大なカーネルの脆弱性 CVE-2026-98432 の対応を危険なほど放置しており、Canonical が「エンタープライズグレード」のセキュリティと信頼性を提供するという主張を根底から揺さぶる深刻な問題となっています。このバグは、重篤度スコア 9.8 という極めて高いレベルで完全なリモート権限奪取を可能にし、許可なしで攻撃者が影響を受けたサーバーを完全に制御することを意味します。また、本記事が作成される以前に機能するエクスプロイトが公然と公開され、極度の緊急性が浮き彫りになっています。この特定の不具合は 2016 年から存在していましたが、ボランティア主導のディストリビューションである Debian や Arch は、10 月中旬の確認後すぐに迅速に対応しました。一方、Canonical はこの重要なパッチを無視しながらセキュリティサブスクリプションの販売を続け、マーケティング上の約束と実際の行動との間に矛盾を生み出しています。報告の著者はこのプラットフォームへの信頼を完全に失い、以来自分のサーバーを Ubuntu から完全に移行済みです。Ubuntu を依存しているユーザーは、必要なアップデートを適用しない限り、即座に完全な侵害というリスクにさらされており、これは企業のエンタープライズ向けの信頼性標準と直接矛盾する重大なセキュリティ上の失敗につながります。
本文
重大な CVE-2026-98432:Ubuntu の遅延対応への疑問
脆弱性の概要
- 発覚日:2026 年 11 月 2 日
- 対象:Linux カーネルの TCP コード
- 深刻度:CVSS スコア 9.8(極めて重大)
- 影響範囲:システム内に存在し、事実上地球上のすべての Linux サーバーに適用可能
- 攻撃手法:遠隔から攻撃可能
- 被害内容:Anthropic が開発したエクスプロイトにより、サーバー上で root 権限を付与でき、完全なシステム乗っ取りが可能に
Ubuntu の対応状況と問題点
- 修正未提供:脆弱性が発覚から 9 日後、実用的な root エクスプロイトが公開されてさらに 6 日後(2026 年 11 月 2 日時点)も、パッチは提供されていない。
- リストアップ:すべてのサポート対象リリースおよび LTS(長期サポート版) も含め、「脆弱」としてリストアップされている。
- 公式見解との矛盾:Ubuntu の公式サイトでは「重大な脆弱性に対して適切なタイミングでのパッチ提供」を約束しているが、実際の対応は著しく遅れている。
- 信頼の喪失:元々は安定してトラブルのない LTS ディストリビューションとして認識されていたが、この事態により信頼できなくなった。
比較:他社ディストリビューションとの違い
- ボランティア系(Debian, Arch, Alpine など):既に修正を提供している。
- 企業系(Ubuntu / Canonical):セキュリティサブスクリプションを販売する企業が作成しており、まだ提供していない。
作者の結論と移行決意
- 即座の移行:サービスやデータの移行時間がなかったため、Ubuntu で動作しているすべてのサーバーを オフライン化する必要がある。
- 将来の計画:すべてのサーバーを Ubuntu から移行することを決断した。
- 批判点:ソフトウェア業界において言葉の意味が失われ、「エンタープライズグレード」「生産環境グレード」などの虚飾的な用語が多用されている現状への強い失望を表している。
2026 年 11 月 2 日 14:48 UTC 時点での事実