Canonicalは2026年10月12日、libx11の脆弱性4件を修正するセキュリティ通知「USN-8913-1」を公開しました。悪意あるXサーバーへの接続で、任意コード実行やサービス妨害につながる恐れがあります。Ubuntuを管理する情シスは、OSの版とlibx11-6の版を組み合わせて確認し、指定の修正版へ更新する必要があります。
接続先が悪意あるXサーバーの場合にリスク
libx11は、X11のクライアント側ライブラリです。今回の通知では、処理の不備がある場所と、想定される影響が脆弱性ごとに示されています。
CVE-2026-88806は、XKBキーボードマップ応答の処理に不備があります。Canonicalによると、悪意あるXサーバーに接続した場合、DoSや任意コード実行の恐れがあります。DoSは、サービスの利用を妨げることです。任意コード実行は、攻撃者が意図したコードを実行されることを指します。
CVE-2026-94283とCVE-2026-94284は、XIMメッセージの処理に関する問題です。こちらも悪意あるXサーバーへの接続が悪用の条件として示され、DoSの恐れがあります。
CVE-2026-94285は、マルチバイト文字列の変換処理に不備があります。Canonicalは、クラッシュによるDoSの恐れがあるとしています。この問題については、取材資料に悪意あるXサーバーへの接続という条件は示されていません。4件すべてを同じ接続条件で判断しないことが重要です。
Ubuntuの版ごとに修正版が異なる
Canonicalは、システムを指定の修正版に更新すると問題を解消できるとしています。libx11-6の修正版は次のとおりです。
- Ubuntu 26.04 LTS：
2:1.8.13-1ubuntu0.1
- Ubuntu 24.04 LTS：
2:1.8.7-1ubuntu0.1
- Ubuntu 22.04 LTS：
2:1.7.5-1ubuntu0.4
- Ubuntu 20.04 LTS：
2:1.6.9-2ubuntu1.6+esm1
- Ubuntu 18.04 LTS：
2:1.6.4-3ubuntu0.4+esm3
- Ubuntu 16.04 LTS：
2:1.6.3-1ubuntu2.2+esm5
- Ubuntu 14.04 LTS：
2:1.6.2-1ubuntu2.1+esm6
確認では、数字だけでなく末尾の文字列も含めて照合してください。例えば、Ubuntu 24.04 LTSの修正版を、別のUbuntuの版に対する確認基準として使うことは避けます。
日本での提供は発表には書かれていません。また、取材資料には更新の適用期限や再起動の要否は示されていません。社内の作業予定と、発表で示された条件を分けて扱う必要があります。
影響する会社・しない会社
- 影響する: 通知に挙がったUbuntuの各版でlibx11-6を使用し、指定の修正版への更新を確認できていない会社です。OSの版だけではなく、パッケージの版も確認対象にします。
- 影響する: 該当する環境からXサーバーに接続する会社です。悪意ある接続先が、CVE-2026-88806、CVE-2026-94283、CVE-2026-94284の悪用条件として示されています。
- 影響しない: 該当するUbuntu環境を指定の修正版へ更新済みの会社では、Canonicalによると今回の問題は解消できます。更新済みであることを記録で確認してください。
- 影響しない: 通知にないOSやUbuntuの版が影響しないかは、発表には書かれていません。対象一覧にないことだけで、安全とは判断できません。
情シスが今日やること
- 資産台帳でUbuntuの対象機を抽出する。 端末・サーバーのOS欄を確認し、通知に挙がった版ごとに分けます。本日中の初動として、機器名と管理担当を一覧にしてください。
- 対象機のパッケージ一覧を確認する。 使用している管理ツールのパッケージ一覧、または対象機上で、
libx11-6の導入有無と版を確認します。上記の修正版と照合し、「確認済み」「更新待ち」「未確認」を記録します。
- 運用担当や委託先に更新を依頼する。 対象機名、Ubuntuの版、現在のlibx11-6の版、指定の修正版をまとめて伝えます。Xサーバーへの接続状況も確認しますが、その結果だけで4件すべてを対象外にしないでください。
- 更新予定と完了確認の担当を決める。 本日中に、更新担当へ実施予定日の回答を依頼します。これは社内の管理上の提案であり、Canonicalが示した期限ではありません。更新後はlibx11-6の版を再確認し、台帳へ結果を残します。
