Canonicalは、libsoupの修正告知「USN-8890-2」を公開し、Ubuntu 26.10向けにlibsoup3の対応更新を提供しました。先行する「USN-8890-1」の修正に対応するもので、利用企業はOSの版と導入パッケージの確認が必要です。公開日は、今回の資料には記載されていません。
Ubuntu 26.10向けの更新と、再掲された説明を区別
今回の更新対象として示されているのは、Ubuntu 26.10向けのlibsoup3です。一方、告知本文にはUSN-8890-1で説明した脆弱性の詳細も再掲されています。告知に載っている問題が、すべてUbuntu 26.10に当てはまると受け取らないことが重要です。
特に「CVE-2026-4271」は、一部のHTTP/2要求の処理に不備があり、遠隔からサービス妨害を受ける恐れがある問題です。HTTP/2はWeb通信で使う方式の一つです。この問題の影響対象は、Ubuntu 24.04 LTSと26.04 LTSのみと明記されています。
今回の資料には、更新後の具体的なパッケージ版番号や適用期限はありません。導入済みの版だけで修正済みと判断せず、更新作業時に告知と照合する必要があります。日本での提供は発表には書かれていません。
情報漏えい・コード実行・サービス妨害の恐れ
業務への影響として確認したいのは、停止だけでなく、情報漏えいや任意コード実行の恐れがある点です。任意コード実行とは、攻撃者が意図したプログラムを実行されることです。
「CVE-2026-85197」は、一部のHTTP/2接続の処理に不備があり、遠隔から情報漏えいや任意コード実行につながる恐れがあると説明されています。
情報の取り扱いに関わる問題もあります。「CVE-2026-5119」は、一部のHTTPSプロキシ接続の処理不備です。「CVE-2026-66339」は、通信を中継するプロキシの認証情報の処理に不備があります。いずれも遠隔から機密情報が漏れる恐れがあるとしています。
また、「CVE-2026-6324」は、データを分割して送るチャンク形式のHTTP要求の解析に不備があり、セキュリティ制御を回避される恐れがあります。「CVE-2026-77014」と「CVE-2026-77680」は、取得するデータの範囲を指定するHTTP Rangeヘッダーの処理不備です。「CVE-2026-85534」は一部のHTTP/2転送の処理不備で、これらは遠隔からサービス妨害につながる恐れがあります。
影響する会社・しない会社
- 影響する: Ubuntu 26.10でlibsoup3を導入している会社です。今回の対応更新について、適用状況を確認する対象になります。
- 影響する: Ubuntu 24.04 LTSまたは26.04 LTSを利用する会社は、再掲されたCVE-2026-4271についても確認が必要です。今回の26.10向け更新と分けて扱います。
- 影響しない: Ubuntu 26.10は、CVE-2026-4271の影響対象には含まれていません。ただし、これは今回の更新全体が不要という意味ではありません。
- 影響しない: 上記以外の環境を一律に対象外と判断できる条件は、今回の資料には書かれていません。
