GMOインターネットグループのGMOサイバーセキュリティ byイエラエ株式会社は、2026年7月3日に同社所属のホワイトハッカーによる脆弱性調査・研究チーム「GMOイエラエ」が、Linuxカーネルに存在する脆弱性「CVE-2026-43456」の詳細情報を公開したと発表しました。本脆弱性はGoogleが実施するバグバウンティプログラム「kernelCTF」にて報告され、8万米ドルを超える報奨金を獲得しています。
目次
脆弱性の概要と特徴
本脆弱性はLinuxカーネルのネットワーク機能「bonding」に存在するtype confusion（型の混同）となっています。根本原因となるコードは2007年に取り込まれて以降、約19年間にわたり修正されることなく存在しており、影響範囲はLinux 2.6.24から6.12.77までと広範囲に及ぶとのことです。
| 項目 | スペック |
|---|---|
| 脆弱性の種類 | type confusion（型の混同） |
| 該当サブシステム | net/bonding |
| 影響範囲 | Linux 2.6.24から6.12.77 |
| 権限昇格の成功率 | 99%以上（実行時間1秒未満） |
※環境温度やテストツールによる実験室測定値となっています。本脆弱性は通常利用の中で発見される可能性が著しく低いためこれまで見過ごされてきましたが、ホワイトハッカーの知見とAIを適切に組み合わせることで発見に至ったとしています。
Ms.ガジェット約19年間も見過ごされていたというのは驚きですね。AIと人の知見を組み合わせることで発見されたというのは興味深いアプローチです。
対策と今後の取り組み
本脆弱性は2026年3月に修正されており、主要なLinuxディストリビューションの最新バージョンでは修正が反映されていることが見込まれるとのことです。利用中の環境を最新バージョンへ更新することが最も有効な対策となっています。また、修正の適用が難しい環境においては、「bonding」機能を無効にするなどの緩和策により影響を回避できると説明しています。
Ms.ガジェット最新バージョンへの更新や機能の無効化など、適切な対策を把握しておくことが大切ですね。参考になれば幸いです。
最後までお読みいただきありがとうございました！
- 本記事の評価は当サイト独自のものです。
- 特段の表示が無い限り、商品の価格や情報などは記事執筆時点での情報です。
- この情報が誤っていても当サイトでは一切の責任を負いかねますのでご了承ください。
- 当サイトに記載された商品・サービス名は各社の商標です。
- 本記事で使用している画像は、メディアユーザーとしてPR TIMESより提供されたプレスリリース素材を利用しています。