Amazon Web Services(AWS)は2026年10月16日(日本時間)、Linuxの仮想マシン通信に関わる脆弱性「CVE-2026-99999」を公表しました。未修正のLinuxカーネルでKVM環境を自己管理する利用者が対象で、ホストのカーネル更新と再起動が必要です。AWSによると、Amazon EC2、AWS Lambda、AWS Fargateは影響を受けません。
ゲスト内の特権アクセスからホストに影響する恐れ
問題があるのは、Linuxカーネルのvirtio-net/TAPという仮想マシンの通信経路です。AWSによると、未修正のLinuxカーネル4.4～6.18を使うKVM環境が影響を受けます。KVMはLinuxの仮想化基盤です。
攻撃には、ゲスト仮想マシン内の特権アクセスが必要です。細工した通信パケットにより、仮想マシンを動かすホスト側のカーネルメモリが破損する恐れがあります。その結果、ホストメモリの情報漏えいや、サービスを利用できなくするサービス拒否につながる可能性があります。
確認の起点は、ゲストOSだけではなく、仮想マシンを動かすホストです。対象には、仮想マシンモニターとしてFirecrackerを使う環境も含まれます。「AWSの発表だからAWS利用者全員が対象」と判断せず、ホストを誰が管理しているかを切り分ける必要があります。
Amazon Linuxは修正版を公開、回避策はなし
Amazon Linuxは修正版のカーネルパッケージを公開しました。修正済みとなる版は、次のとおりです。いずれも記載した版以降が対象です。
Amazon Linux 2：
- kernel-4.14.355-287.750.amzn2
- kernel-5.4.302-229.494.amzn2
- kernel-5.10.269-270.1108.amzn2
- kernel-5.15.220-156.256.amzn2
Amazon Linux 2023：
- kernel-6.1.188-233.385.amzn2023
- kernel6.12-6.12.110-135.201.amzn2023
- kernel6.18-6.18.51-120.162.amzn2023
AWSは対象のAmazon Linux利用者に、ホストのカーネル更新と再起動を推奨しています。他のLinuxディストリビューションを使う場合は、OSベンダーのカーネル更新を適用するよう案内しています。AWSによると回避策はなく、修正版カーネルの適用が必要です。
日本向けの提供条件やリージョン別の扱いは、発表には書かれていません。
影響する会社・しない会社
- 影響する: 未修正のLinuxカーネル4.4～6.18をホストに使い、virtio-netとKVMの仮想マシンを自己管理する会社です。ゲスト内の特権アクセスが攻撃の条件となります。
- 影響する: 上記の条件に該当し、仮想マシンモニターにFirecrackerを使う会社です。Firecrackerの利用だけを理由に確認対象から外さないでください。
- 影響しない: Amazon EC2、AWS Lambda、AWS Fargateの利用です。AWSは、同社管理のコンピュート・コンテナサービス利用者は対応不要としています。
同じ会社でAWS管理サービスと自己管理の仮想化環境を併用している場合は、環境ごとに分けて判断します。AWS管理サービスが対象外であることを、自社管理ホストにもそのまま当てはめないことが重要です。
情シスが今日やること
- 自己管理ホストの有無を確認する。 まずサーバー管理台帳を見て、KVMやFirecrackerの利用環境と管理担当者を洗い出します。委託している場合は、委託先にホスト側の確認を依頼してください。発表には、確認用の管理画面や画面内の操作箇所は示されていません。
- ホストのカーネルと通信構成を照合する。 対象候補のホストで、実行中のカーネル版、修正の適用状況、virtio-net/TAPの利用有無を確認します。ゲストOSの更新状況だけで確認を終えず、ホスト単位で結果を記録します。
- 更新と再起動の作業枠を決める。 Amazon Linuxは上記の修正版と照合し、それ以外はOSベンダーの更新情報を確認します。対象ホストの担当者から業務責任者へ、カーネル更新と再起動が必要なことを伝え、実施日時を調整してください。
- 本日中に対象と予定を共有する。 社内の初動の目安として、対象・対象外・未確認の一覧と、更新予定を運用責任者へ共有します。発表には適用期限は示されていません。更新後は、再起動の完了と修正版カーネルでの稼働を確認して、対応記録を閉じます。
