Linux カーネルの TCP 脆弱性 CVE-2026-98432：Red Hat 製品への影響範囲と対応状況

概要

出典：RHSB-2026-016、Red Hat CVE-2026-98432

Red Hat の深刻度評価の根拠

Red Hat が Critical（CVSS 9.8）とした根拠は、CVE ページの Statement に次のとおり記載されています。

• 認証されていないリモート攻撃者が、標準的な IPv4 TCP トラフィックだけでカーネルメモリを破壊、またはシステムをクラッシュさせられる
• ローカル権限もユーザー操作も不要
• エンタープライズの標準的な TCP 設定は特別なチューニングなしに接続を受け付けるため、該当する並行処理パスが露出している
• タイミング依存の Use-After-Free を確実なコード実行につなげるには精密なヒープ制御が必要だが、ネットワーク側の前提条件がないことと深刻な不安定化の可能性から、Important を超える影響と判断

MPTCP について、Red Hat は次の点を明記しています。

• RHEL は既定で MPTCP を無効にしているが、それでも脆弱である
• net.mptcp.enabled=0 の設定は、既定の RHEL では何も変えない。MPTCP の有効化は脆弱性の前提条件ではない
• ss -Mlnp で MPTCP リスナーの有無を確認しても、露出の有無を判断する材料にはならない

出典：Red Hat CVE-2026-98432、RHSB-2026-016

影響範囲（Red Hat 製品）

Red Hat は Bulletin で、脆弱なカーネルで IPv4 TCP ネットワークが有効なすべてのシステムが対象であり、特にインバウンドの TCP 接続を受け付けるシステムが直接的に晒されていると説明しています。

出典：RHSB-2026-016、Red Hat Bugzilla 2553390

対象パッケージと修正の有無

出典：Red Hat Bugzilla 2553390、各 errata ページ

※ RHSA-2026:93412（RHEL 9.8）は 18 件の CVE を含む累積更新で、advisory 全体の深刻度は Important と表示されます。CVE-2026-98432 単体の深刻度は Critical です。この errata には、Red Hat が RHSB-2026-014 で「潜在的影響あり」としていた ZDI-CAN-33367（skb_zerocopy）の修正も含まれています。

※ 上の表に載っていない EUS / E4S / AUS ストリーム（RHEL 9.0、8.6、8.4、8.2 など）の修正状況は、11月4日時点の公開情報では確認できませんでした。CVE ページの製品別一覧で確認してください。

※ 修正の確認は uname -r の出力を上の表の修正パッケージと比較します。更新後に再起動しない限り、修正は反映されません。

対応

1. 稼働中のカーネルを確認する：uname -r
2. errata を適用する：dnf update kernel（RHEL 8 / 9 / 10）、Real Time は dnf update kernel-rt
3. 再起動する：systemctl reboot。再起動しない限り修正は反映されない
4. 適用を確認する：uname -r が修正パッケージのバージョンになっていること、rpm -q --changelog kernel | grep CVE-2026-98432
5. 緩和策として nftables ルールを入れていた場合は、修正カーネルで再起動した後に削除する：sudo nft delete table inet cve_2026_98432

Satellite / Red Hat Lightspeed（旧 Insights）を利用している環境では、該当 errata が適用対象として表示されます。

緩和策（Red Hat Bulletin より）

Red Hat は10月30日に、IP オプションを含む受信 IPv4 TCP パケットを破棄する nftables ルールを掲載しました。通常の TCP オプションは TCP ヘッダー側に載るため、一般的なアプリケーション通信は影響を受けないとしています。ただし、露出を減らすだけで完全には防げず、パッチの代替にはなりません。本番適用前に自環境のトラフィックで検証するよう注意書きがあります。

cve-2026-98432.nft として保存：

table inet cve_2026_98432 {
    chain input {
        type filter hook input priority -310; policy accept;
        ip protocol tcp ip hdrlength > 5 counter drop
    }
}

適用と確認：

sudo nft --check --file cve-2026-98432.nft
sudo nft --file cve-2026-98432.nft
sudo nft list table inet cve_2026_98432

Red Hat が MPTCP の無効化ではなくパケットフィルタを推奨する理由は、フィルタが「脆弱性が必要とする入力そのもの」を取り除き、既存の接続にも即時に効き、サービスの再起動も不要だからです。MPTCP の無効化は悪用経路の一つを塞ぐだけで、設定変更後に作られたソケットにしか効きません。

OpenShift Container Platform での注意

• nftables ルールをノードに適用しても、効くのはノードのホストネットワーク名前空間を通る通信だけです。クラスター内の SDN を流れる Pod 間通信にはかからず、外部から Pod へ転送される通信にかかるかどうかはクラスターのネットワーク構成次第です
• クラスター前段のネットワーク境界でのフィルタリングには、この制約はありません
• Red Hat は OpenShift 向けの緩和ガイダンスを準備中で、Bulletin を更新するとしています

出典：RHSB-2026-016（11月3日 更新）

情報源

• RHSB-2026-016 Use-after-free – kernel IPv4 (CVE-2026-98432)
• Red Hat CVE-2026-98432
• Red Hat Bugzilla 2553390
• RHSA-2026:93412 kernel security, bug fix, and enhancement update（RHEL 9）
• RHSA-2026:93415 Critical: kernel-rt security update（RHEL 8）
• RHSA-2026:94303 Critical: kernel security update（RHEL 8.8 E4S / TUS）
• RHSB-2026-014 Multiple kernel vulnerabilities
• CVE-2026-98432 – CVE Record（cve.org）
• Discovering vulnerabilities with Claude（Anthropic）

更新履歴