【ITニュース解説】Patch These Four Linux Kernel Local Root Vulns Now: DirtyAH6, PPPoEject, TUNderflow, and DiagSpill

Linuxカーネルに深刻な脆弱性が複数発見され、システムの安定性とセキュリティを脅かす事態となっている。これらの脆弱性は、システムの根幹をなすカーネルの内部に存在し、攻撃者が一度システムへの足がかりを得てしまえば、最終的にシステム全体を完全に制御できる「root」権限を奪い取ることを可能にするものだ。特に、セルフホスト環境や個人の研究・開発環境（ホムラボ）でLinuxサーバーを運用している人にとっては、迅速な対応が求められる。

今回公開された脆弱性は「DirtyAH6（CVE-2026-80844）」、「PPPoEject（CVE-2026-68121）」、「TUNderflow（CVE-2026-81000）」、そして「DiagSpill（CVE-2026-74469）」の四つである。これらは全て「ローカル権限昇格」と呼ばれる種類のバグで、これはシステムにログイン済みのユーザーや、何らかの理由で実行されてしまった悪意のあるプログラムが、本来持っていないはずのroot権限（Windowsでいう管理者権限に相当する、最も高い権限）を獲得できてしまうことを意味する。さらに悪いことに、これらの脆弱性を悪用するための具体的な攻撃コード（概念実証、PoCエクスプロイト）も既に公開されており、悪意のある攻撃者がこれを利用してシステムを乗っ取ってしまう危険性が現実のものとなっている。

なぜこれがホムラボ環境にとって特に重要なのか。一般的な感覚では、ローカル権限昇格の脆弱性は「既存のアクセスがなければ危険ではない」と軽視されがちである。しかし、ウェブアプリケーションの脆弱性を突かれたり、仮想化技術の一つであるLXCコンテナが突破されたり、あるいは悪意のあるパッケージを誤ってインストールしてしまったりするなど、何らかの形でシステムへの最初の侵入を許してしまった場合、このローカル権限昇格の脆弱性が利用されると、ただちにそのノード全体の完全な制御を奪われてしまう。例えば、ProxmoxのLXCコンテナはホストのカーネルを共有しているため、コンテナが突破されてしまえば、そのままホストカーネルの脆弱性を突かれ、ホスト全体が乗っ取られる可能性が生じる。Raspberry Piで外部にサービスを公開している場合も同様のリスクを抱えている。

セキュリティ研究者であるAsim Manizada氏が7月中旬にこれらの脆弱性を報告し、ディストリビューターが修正プログラムを出荷できるよう、公開を一時的に保留した後、9月18日に技術的な詳細と攻撃コードが公開された。これらの脆弱性を修正したカーネルのバージョンは、5.10.270、5.15.221、6.1.188、6.6.157、6.12.109、6.18.50、7.2.4といった、特定の安定版リリースである。

各脆弱性の内容についても簡単に触れておこう。「DirtyAH6」は、IPv6の認証ヘッダ処理に問題があり、カーネルメモリが破壊される可能性がある。特定のネットワーク設定と権限が必要だが、遠隔からの攻撃でシステムを停止させたり、場合によっては遠隔からroot権限を取得したりする可能性も指摘されている。「PPPoEject」は、PPPoE関連のコードにおけるUse-After-Freeという種類のメモリの誤用バグで、特定のデバイス設定が必要となる。「TUNderflow」は、TUN/TAPドライバーにおけるバッファアンダーフローの脆弱性で、特定のデータ経路を通じてパケットデータが割り当て領域をはみ出して書き込まれる可能性がある。そして「DiagSpill」は、SCTPという通信プロトコルの診断機能におけるバグで、これは特に注意が必要な脆弱性だ。SCTPの関連付け数を管理するカウンターが上限を超えるとゼロに戻ってしまい、それに伴って確保されるバッファサイズが実際より小さくなるため、大量のデータがバッファの範囲を超えて書き込まれ、カーネルメモリが破壊される。このDiagSpillは、他の脆弱性と異なり、特別な権限やユーザー名前空間を必要としないため、システム上の一般ユーザーでも容易に悪用できてしまう点が非常に深刻である。

これらの脆弱性からシステムを保護するためには、カーネルのアップデートとシステムの再起動が必須である。まず、現在実行中のカーネルバージョンをuname -rコマンドで確認し、その結果を記録しておく。次に、パッケージインデックスを更新し、利用可能なすべてのセキュリティアップデートを適用する。DebianやUbuntuベースのシステム（ProxmoxやRaspberry Pi OSを含む）では、sudo apt update && sudo apt full-upgrade -yコマンドを実行する。Proxmoxの場合は、pveversion -vでProxmox関連パッケージも最新か確認すると良い。Raspberry Pi OSでは、カーネルパッケージの名前がOSのバージョンによって異なる場合があるため、apt-cache policyコマンドで正しいパッケージがインストールされているか確認することも推奨される。アップデートが完了したら、sudo rebootコマンドでシステムを再起動する。Proxmoxホストの場合は、再起動前に稼働中の仮想マシンやコンテナを停止または移行させる必要がある。再起動後、再度uname -rを実行し、カーネルバージョンが更新されていることを確認する。このバージョンが、各ディストリビューションのセキュリティ勧告で示されている修正済みのバージョンと一致することを確認することが重要だ。

しかし、2026年9月29日時点でのパッチ適用状況は、ディストリビューションによって大きく異なっているため、注意が必要である。例えば、Debian 13 trixieは全ての脆弱性が修正されているが、Debian 12 bookwormではTUNderflowの修正がまだ提供されていない。Ubuntu 22.04、24.04、26.04では、主要なLinuxパッケージにおいて、これら4つの脆弱性に対する修正カーネルはまだリリースされていない状況だ。Proxmox VEもTUNderflowのみが修正されているとされ、他の3つの脆弱性については修正が確認できない場合がある。Raspberry Pi OSについても、全ての修正を含むカーネルビルドは確認できていない状況だ。このため、単にシステムをアップデートしただけでは、全ての脆弱性が修正されたとは限らない。特にDiagSpillは、最も簡単に悪用される可能性が高い脆弱性であるため、優先して対応することが推奨される。SCTPモジュールを使用しない場合は、blacklist sctpを/etc/modprobe.d/内のファイルに追加し、update-initramfs -uを実行してモジュールがロードされないようにすることも効果的な対策である。

パッチの適用だけでなく、追加のセキュリティ強化策も検討するべきだ。非特権ユーザー名前空間の制限は、DiagSpillを除く3つの脆弱性への対策となるが、これによりFlatpakや一部のコンテナ技術が動作しなくなる可能性があるため、慎重な検討が必要である。AppArmorやSELinuxといったセキュリティプロファイルを利用して、LXCコンテナなどの動作を厳しく制限することも有効だ。また、システムへのローカルアクセス自体を制限し、信頼できないコードを実行させないことも、ローカル権限昇格攻撃の発生リスクを低減させる。使用していないカーネルモジュール、特にPPPoEやSCTPをブラックリスト化してロードさせないようにすることは、これらの脆弱性の悪用経路を断つ上で重要だ。

アップデート後にカーネルバージョンが変わらない、Proxmoxで古いカーネルが起動してしまう、Raspberry Piが起動しなくなるなどの問題が発生した場合は、各ディストリビューションのコミュニティフォーラムやドキュメントを参照し、適切なトラブルシューティングを行う必要がある。

今回の4つのローカルrootバグの一斉開示は、Linuxセキュリティにとって非常に厳しい状況を示している。システムのアップデートと再起動は当然の対応だが、現状ではそれが完全な解決策ではない場合もあることを理解しておく必要がある。最も優先すべきは、一般ユーザーからでも悪用可能なDiagSpillの対策であり、自身の利用しているディストリビューションのセキュリティ情報を常に確認し、最新のパッチ適用状況を把握することが何よりも重要である。普段あまり意識しないような、テレビの裏に隠れたRaspberry Piや、以前設定したきりのサブのProxmoxノードなども含め、全てのLinuxシステムについてパッチ適用状況を改めて確認することを強く推奨する。セキュリティ情報は常に変化するため、最新の情報を追い続ける姿勢が大切である。