Linuxカーネルに重大な脆弱性「CVE-2026-98432」— 最新状況とサイト管理者が取るべき対策【2026年11月】

2026年10月、LinuxカーネルにCVSS 9.8（最高クラス）と評価された重大な脆弱性「CVE-2026-98432」が公表されました。ログイン不要で、インターネット越しにサーバーを狙える性質の欠陥です。さらに、AIを使って「サーバーのroot権限を奪う攻撃コード」を作れたという報告も出て、世界中のサーバー管理者の注目を集めています。

WordPressサイトの多くはLinuxサーバー上で動いています。そのため、WordPress本体やプラグインをきちんと更新していても、土台のサーバーが無防備なら、サイトも安全とはいえません。

この記事では、2026年11月9日時点の情報をもとに、この脆弱性の内容と最新の状況、サイト管理者が取るべき対策を、サーバーの種類別にわかりやすくまとめます。

CVE-2026-98432とは

脆弱性の概要

少しだけ技術的にいうと、サーバーがTCPの接続要求を受けるとき、通信に付いている「IPオプション」という付加情報を、カーネルが新しい接続へ受け渡します。その受け渡しの途中で、別のCPUが同じ情報を使っているのに、先にメモリを解放してしまうことがありました。これが欠陥の正体です。

Webサーバー（ポート80・443）やSSHなど、インターネットに向けてTCPのポートを開けているLinuxサーバーは、基本的にすべて影響を受ける可能性があると考えてください。

なぜここまで注目されているのか

大きなきっかけは、AI企業のAnthropicによる10月27日の発表です。同社のセキュリティ研究チームは、未公開のAIモデルがこの脆弱性の攻撃コードを作り、MPTCP（マルチパスTCP）という仕組みで接続を受けるサーバーに対して、ログインなしでroot権限のコマンドを実行できたと報告しました。カーネルのメモリ配置を推測するのに約48分、そこから実際に権限を奪うまで約5分だったとされています。なお、この攻撃コードは公開されていません。

ここで注意したいのは、MPTCPを使っていないサーバーも安全ではないという点です。実証されたのはMPTCPを使う構成ですが、欠陥そのものは通常のTCP通信でも起こり得ます。Red Hatなども、MPTCPを止めるだけでは不十分だと注意を呼びかけています。

最新の状況（2026年11月9日時点）

これまでの経緯

実際に攻撃されているのか

11月9日時点で、各ベンダーや公的機関から実際の攻撃被害の報告はありません。米CISAの「悪用が確認された脆弱性」の一覧にも、まだ載っていません。

一方で、油断できない動きも出ています。セキュリティ研究者のMarcus Hutchins氏は、11月2日ごろから、MPTCPでポート443に接続できるサーバーを探すスキャンがインターネット全体で行われていると報告しました。同氏の調査では、MPTCPでポート443につながるサーバーは約210万台あったそうです。

また、脆弱性の一部を再現するコードはGitHubなどで公開されています。ただし、「エクスプロイト（攻撃コード）」をうたうリポジトリの中には、マルウェアが仕込まれたものも多いと指摘されています。「自分のサーバーが対象か試してみよう」と安易に実行するのは避けてください。

主なLinuxディストリビューションの修正状況

状況は日々変わっています。作業の前には、必ず各ディストリビューションの公式ページで最新の状態を確認してください（記事の最後にリンクをまとめています）。

名前の似た別の脆弱性に注意

10月には、同じくLinuxカーネルのIPv4処理に関わる別の脆弱性「CVE-2026-99999」（通称PwnEscape）も公表されています。こちらは仮想マシンからホスト側を攻撃できる性質のもので、さくらインターネットが一部サービスの新規受付を一時停止するなどの対応を取りました。番号も中身も別の脆弱性なので、情報を調べるときは番号をよく確認してください。

まず確認：あなたのサイトのサーバーは誰が管理している？

この脆弱性はWordPressではなく、サーバーのOS（Linuxカーネル）の問題です。WordPressやプラグインの更新では直りません。そして、誰が対策するかはサーバーの種類で変わります。

特に注意したいのは、VPSやクラウドで、構築したまま誰もOSを更新していないサーバーです。「サイトを作った制作会社がサーバーも用意してくれたが、その後の管理は誰もしていない」というケースは珍しくありません。心当たりがある場合は、すぐに確認しましょう。

VPS・クラウドでサーバーを自分で管理している場合の対策

1. 動いているカーネルのバージョンを確認する

サーバーにSSHでログインし、次のコマンドを実行します。

# OSの種類とバージョン
cat /etc/os-release

# いま動いているカーネルのバージョン
uname -r

表示されたバージョンを、上の表や各ディストリビューションの公式ページにある修正版のバージョンと比べます。RHEL系（AlmaLinux、Rocky Linux、Amazon Linuxなど）では、次のコマンドで変更履歴にCVE番号が含まれているかも確認できます。

rpm -q --changelog kernel-$(uname -r) | grep -m1 CVE-2026-98432

2. 修正版カーネルに更新し、再起動する

修正版が出ていれば、更新して再起動します。作業の前には、必ずバックアップやスナップショットを取っておきましょう。

# Ubuntu / Debian
sudo apt update
sudo apt full-upgrade
sudo reboot

# RHEL / AlmaLinux / Rocky Linux / Amazon Linux など
sudo dnf update kernel
sudo reboot

ここが一番の落とし穴です。カーネルは、更新しただけでは有効になりません。再起動して新しいカーネルで起動し直すまで、サーバーは脆弱なままです。再起動後にもう一度 uname -r を実行し、修正版のバージョンで動いていることを確認してください。

なお、Ubuntuで「セキュリティ更新だけを自動で入れる」設定（unattended-upgradesの初期設定など）にしている場合、11月9日時点では修正版が自動では入りません。手動で更新してください。

3. すぐに更新・再起動できない場合の暫定策

修正版がまだ出ていない、あるいはすぐには再起動できない場合は、次のような暫定策で危険を減らせます。あくまで一時しのぎなので、修正版カーネルが使えるようになったら、必ず更新と再起動を行ってください。

（1）IPオプション付きのTCP通信を遮断する

攻撃には、IPオプションという付加情報を含む通信が必要です。通常のWeb閲覧ではほぼ使われないため、これを捨てるルールを入れることで、攻撃の入口をふさげます。Red Hatが示しているnftablesのルール例は次のとおりです。

table inet cve_2026_98432 {
    chain input {
        type filter hook input priority -310; policy accept;
        ip protocol tcp ip hdrlength > 5 counter drop
    }
}

このルールは、サーバーを再起動すると消えます。再起動後も残したい場合は、nftablesの設定ファイルに保存してください。また、本番環境に入れる前に、テスト環境などで通信に問題が出ないか確認しましょう。

（2）使っていなければMPTCPを無効にする

sudo sysctl -w net.mptcp.enabled=0

恒久的に無効にするには /etc/sysctl.d/ に設定ファイルを置きます。ただし、前述のとおりMPTCPを止めるだけでは対策として不十分です。（1）とあわせて行ってください。

（3）外部に開けているポートを減らす

使っていないポートは閉じ、SSHなどの管理用ポートは、接続できるIPアドレスを限定しましょう。VPSやクラウドの管理画面にあるファイアウォール機能（セキュリティグループなど）でも設定できます。

4. 不審な動きがないか確認する

11月9日時点で被害は報告されていませんが、念のため次の点も確認しておくと安心です。

• サーバーが原因不明で停止・再起動していないか
• WordPressに覚えのない管理者ユーザーやファイルが増えていないか
• 改ざん検知や監視の仕組みから、異常の通知が来ていないか

共用レンタルサーバー・マネージドホスティングの場合

共用レンタルサーバーやマネージドホスティングでは、利用者がカーネルを更新することはできません。対策はサーバー事業者が行います。利用者がやることは、次の2つです。

• 契約している事業者の「お知らせ」「障害・メンテナンス情報」を確認する。緊急メンテナンスで一時的にサイトが止まる場合もあります
• WordPress本体・テーマ・プラグイン・PHPのバージョンを最新に保つ。サーバー側の対策が済んでいても、WordPress側に穴があれば別の経路で狙われます

今回のような「OSの脆弱性」と「WordPressの脆弱性」は、別々に対策が必要です。サーバーとWordPressの両方を、日ごろから更新できる体制を整えておくことが大切です。

まとめ

• CVE-2026-98432は、LinuxカーネルのTCP接続処理にある重大な脆弱性（CVSS 9.8）。Webサーバーとして動くLinuxの多くが対象になり得る
• 根本対策は修正版カーネルへの更新と、再起動。更新しただけでは直らない
• すぐに対応できない場合は、IPオプション付きTCPの遮断などの暫定策で時間を稼ぐ
• 共用レンタルサーバーなら事業者が対応する。VPS・クラウドなら自分で対応が必要
• 11月9日時点で攻撃被害は未確認。ただし対象を探すスキャンは始まっており、早めの対応が望ましい

「自分のサイトがどのサーバーで動いているかわからない」「VPSの管理を任せられる人がいない」という方は、WPセンターにご相談ください。WordPressの更新や不具合対応、セキュリティ対策を、月額固定料金でお引き受けしています。

WPセンターのWordPress保守サービスを見る

参考情報

• Ubuntu：CVE-2026-98432
• Red Hat：CVE-2026-98432
• Red Hat：セキュリティ速報 RHSB-2026-016
• Debian Security Tracker：CVE-2026-98432
• AlmaLinux：CVE-2026-98432に関するブログ
• Amazon Linux Security Center：CVE-2026-98432
• お名前.com：［VPS（KVM）］Linuxカーネルにおける脆弱性（CVE-2026-98432）に関する対策のお願い
• Anthropic：Discovering vulnerabilities with Claude

※本記事は2026年11月9日時点の公開情報をもとに作成しています。最新の状況は各公式情報をご確認ください。