Canonical、NSSのCA証明書を更新 Ubuntuの導入版確認を

Canonicalは2026年10月21日、NSSの更新に関するセキュリティ告知「USN-8947-1」を公開しました。nssパッケージに含まれるCA証明書2件を削除する更新で、対象のUbuntuを管理する担当者には、対応パッケージ版へのシステム更新を案内しています。

削除する証明書とUbuntuごとの更新版

CA証明書は、電子証明書の発行元である認証局を信頼するための証明書です。今回の更新では、次の2件が削除されます。

• emSign ECC Root CA - G3
• Comodo AAA Services root

Canonicalが説明する削除理由は、中間CA証明書の侵害です。削除対象の名前と、侵害があったと説明されている証明書の区分を混同しないことが重要です。今回の情報を、そのまま自社のUbuntuへの侵入や情報漏えいが確認されたという意味で扱うものではありません。

告知に記載されたlibnss3の更新版は、以下のとおりです。Ubuntuの版ごとにパッケージ版が異なるため、数字の一部分だけではなく、版の文字列全体を照合してください。

• Ubuntu 26.10：2:3.127-1ubuntu0.1
• Ubuntu 26.04 LTS：2:3.120-1ubuntu2.2
• Ubuntu 24.04 LTS：2:3.98-1ubuntu0.3
• Ubuntu 22.04 LTS：2:3.98-0ubuntu0.22.04.5
• Ubuntu 20.04 LTS：2:3.98-0ubuntu0.20.04.2+esm2
• Ubuntu 18.04 LTS：2:3.35-2ubuntu2.16+esm2
• Ubuntu 16.04 LTS：2:3.28.4-0ubuntu0.16.04.14+esm6
• Ubuntu 14.04 LTS：2:3.28.4-0ubuntu0.14.04.5+esm14

日本での提供は発表には書かれていません。また、更新の適用期限や、個別の業務システムへの影響も示されていません。更新作業では、パッケージの適用確認と、業務で使う接続の確認を分けて進めるのが実務上の確認点です。

影響する会社・しない会社

• 影響する: 上記のUbuntuを利用し、該当するlibnss3の更新をまだ適用していない会社です。まず、端末・サーバーごとのUbuntuの版とパッケージ版を確認する対象になります。
• 影響しない: 対象となるUbuntuとnssパッケージを利用していない会社は、今回案内されたパッケージ更新の対象ではありません。ただし、他のOSや製品で同じ証明書への対応が必要かどうかは、発表には書かれていません。

確認が必要: 上記のUbuntuの保守を外部に委託している会社も、委託先に該当パッケージの有無と更新の適用状況を確認してください。委託の有無だけで、今回の更新対象かどうかが決まるわけではありません。

会社の規模ではなく、利用するUbuntuの版とパッケージの導入状況で対象を絞り込む告知です。全社一律の障害通知を出す前に、管理対象の棚卸しから始めてください。

情シスが今日やること

1. 資産台帳から対象を抽出する。 今日の確認作業として、IT資産管理画面や台帳のOS情報を開き、上記8種類のUbuntuを使う端末・サーバーを洗い出します。管理者が不明な機器は、所属部門や保守委託先に確認を依頼します。
2. 機器側で導入版を照合する。 対象機器のパッケージ管理画面、または管理用の端末でlibnss3の導入版を確認します。Ubuntuの版、導入版、告知の更新版を一組にして記録し、未確認の機器と更新が必要な機器を分けます。
3. 更新前に担当者と作業日を決める。 システム管理者と業務責任者に、CA証明書2件を削除する更新であることを伝えます。公式の適用期限は示されていないため、社内の更新予定日と確認担当者を決め、委託先にも同じ内容を確認します。
4. 更新後に適用と接続を確認する。 対応パッケージ版への更新後、導入版を再取得して記録します。併せて、業務で使う接続先について証明書エラーがないかを確認してください。エラーが出た場合は接続先と表示内容を記録し、接続先の管理者へ調査を依頼します。