---
title: "Linux カーネルの IPv4 TCP ハンドシェイクの解放後使用 CVE-2026-98432（CVSS v3.1 9.8）: 認証なしでリモートから到達でき、MPTCP の待ち受けでコード実行が実証された。各系統の修正版あり"
url: https://n-t-p.io/worldsecurity/articles/linux-kernel-ipv4-tcp-syn-recv-sock-inet-opt-use-after-free-cve-2026-98432-cvss-9-8
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 緊急
cve: CVE-2026-98432
---

# Linux カーネルの IPv4 TCP ハンドシェイクの解放後使用 CVE-2026-98432（CVSS v3.1 9.8）: 認証なしでリモートから到達でき、MPTCP の待ち受けでコード実行が実証された。各系統の修正版あり

> **TL;DR:** Linux カーネル 4.4 以降の IPv4 TCP ハンドシェイクにある解放後使用 CVE-2026-98432（CVSS v3.1 9.8）。認証なしのリモートの第三者が IP オプション付きの TCP パケットを送ると、クラッシュ、メモリ漏えい、メモリ破壊が起き得る。MPTCP の待ち受けでコード実行が実証された。KEV なし、EPSS 0.46%。各系統の修正版は 5.10.272・6.1.190・6.6.159・6.12.113・6.18.56・7.2.10 など。

**要点**
- Linux カーネル 4.4 以降に、IPv4 TCP ハンドシェイクの解放後使用 CVE-2026-98432 がある（CVSS v3.1 9.8、カーネル CNA の値）
- ネットワーク経由・複雑さ低・権限不要・操作不要。再送された SYN の処理と子ソケットの解放が競合し、IP オプションの領域を解放後に使う。クラッシュ、メモリ漏えい、メモリ破壊が起き得る
- MPTCP の待ち受けに対する認証なしのコード実行が実証されたとされる。ただし成功にはタイミングとヒープの制御が要るとされ、MPTCP 固有の問題ではない
- KEV 掲載なし、EPSS 0.46%（2026-11-01）。クラウド事業者は実際の悪用を把握していない。NVD 自身の評価は未実施
- 修正版は 5.10.272・5.15.223・6.1.190・6.6.159・6.12.113・6.18.56・7.2.10・7.3 以降。更新して再起動する。暫定策は IP オプション付きパケットの遮断（推定を含む）

NVD は 2026-10-15 に、Linux カーネルの IPv4 TCP ハンドシェイク処理にある解放後使用（use-after-free、CVE-2026-98432）を登録しました。認証されていないリモートの第三者が、IP オプション付きの細工した TCP パケットを待ち受け側（リスナー）へ送ることで、カーネルのクラッシュ、カーネルメモリの漏えい、メモリ破壊を起こせるとされています。Multipath TCP（MPTCP）の待ち受けに対して、認証なしのリモートコード実行が実証されたと、クラウド事業者の勧告が記しています。

## 何が起きるか

- **CVE-2026-98432（解放後使用）**: `tcp_v4_syn_recv_sock()` が接続要求のオプション（`ireq_opt`）を子ソケットへ引き継ぐ際にコピーしません。別の CPU が、再送された SYN に対する SYN-ACK を組み立てている最中にその領域を読み、その間に子ソケットが解放されると、解放済みメモリを使ってしまいます。
- 解放が通常の `kfree()` で行われ、読み手は RCU の読み取り区間にしかいないため、競合が起きます。修正は `kfree_rcu()` による解放の遅延です。
- 同じ種類の問題が、リクエストソケットの移行（`net.ipv4.tcp_migrate_req=1` または BPF の移行プログラム使用時）にもあるとされています。
- IPv6 は、1 つ目の問題の影響を受けません。IPv6 側の移行経路（CALIPSO 使用時のみ）は別の修正で扱われる予定とされています。
- 攻撃条件は、ネットワーク経由（AV:N）、複雑さは低い（AC:L）、権限不要（PR:N）、利用者の操作不要（UI:N）です。ただしベンダーの勧告では、成功には正確なタイミングが必要で、確実なコード実行にはヒープの制御が要るとも記されています。
- 攻撃の具体的な手順は、本記事では扱いません。

## 影響を受ける範囲

- 4.4 以降のカーネルが対象です（4.4 より前は対象外）。
- 修正済みとされる版は、5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、7.3 以降です。各系統でこの版以降が対象外です。
- ディストリビューションのカーネルは版番号の付け方が異なります。各社の勧告に従って更新してください。
- Red Hat は RHEL 8・9・10 と OpenShift を影響ありとし、修正版を急いで出しているとしています。クラウド事業者は、同社の Linux 向けカーネルパッケージと EKS 向けイメージの更新を公開しています。

## 数値と出典（2026-11-02 時点）

| CVE | 種類 | 認証 | CVSS v3.1 | CVSS v4.0（参考） | EPSS |
|---|---|---|---|---|---|
| CVE-2026-98432 | IPv4 TCP ハンドシェイクの解放後使用 | 不要 | 9.8（CRITICAL、カーネル CNA） | 8.3（Ubuntu 掲載） | 0.46%（2026-11-01） |

- NVD の状態は Received（NVD 自身の評価は未実施）で、CVSS はカーネルの CNA が付けた二次的な値です。
- KEV（CISA の悪用確認済みカタログ）には掲載がありません。クラウド事業者は、実際の攻撃での悪用は把握していないとしています。

## severity を critical とした理由

認証が不要で、ネットワーク経由で複雑さが低く、CVSS v3.1 は 9.8 です。広く使われる TCP の経路にあり、MPTCP の待ち受けでコード実行の実証があります。過去の判断の基準（認証不要かつ CVSS 9.0 以上は critical）に合わせて critical としています。一方で、KEV への掲載はなく、EPSS は低く、確実な悪用にはタイミングとヒープの制御が要るとされています。

## 対応として考えられること

1. 稼働中のカーネルの版を確認します（`uname -r`）。4.4 以降で、上の修正版より前なら対象です。
2. ディストリビューションやクラウド事業者が出した修正済みカーネルへ更新し、再起動します。再起動までは修正が効きません。
3. 更新までの暫定策として、Red Hat の勧告は、IP オプション付きの IPv4 TCP パケットを落とすパケットフィルタの規則を示しています。ただし完全な防止にはならず、運用への影響の確認が必要とされています。
4. インターネットに直接さらされた TCP の待ち受けを減らします（推定）。
5. MPTCP を使わない構成なら、無効化も暫定策になり得ますが、勧告では、問題は MPTCP に固有ではないとされています（推定）。

## 未確認の点

- 実際の攻撃での悪用は確認していません。
- MPTCP を使わない通常の TCP の待ち受けで、コード実行まで可能かどうかは確認できていません。勧告ではクラッシュやメモリ破壊とされています。
- 各ディストリビューションの修正版の提供時期は、会社ごとに異なり、一部は未提供です。
- NVD 自身の評価は未実施で、CVSS はカーネル CNA の値です。


## 出典
- [NVD CVE-2026-98432](https://nvd.nist.gov/vuln/detail/CVE-2026-98432) — NIST NVD
- [RHSB-2026-016 Use-after-free - kernel IPv4 (CVE-2026-98432)](https://access.redhat.com/security/vulnerabilities/RHSB-2026-016) — Red Hat
- [CVE-2026-98432 - Linux kernel IPv4 TCP use-after-free Issue](https://aws.amazon.com/security/security-bulletins/2026-160-aws/) — AWS
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-98432) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/linux-kernel-ipv4-tcp-syn-recv-sock-inet-opt-use-after-free-cve-2026-98432-cvss-9-8