Canonicalは2026年10月22日、Tornadoの脆弱性に関するセキュリティ通知「USN-8952-1」を公開しました。細工した通信でTornadoが停止したり、機密情報を漏らしたりする恐れがあり、python3-tornadoの修正版への更新を案内しています。情シスは、Ubuntuを使っているかだけでなく、対象パッケージの有無と導入版を確認する必要があります。
停止と情報漏えいの恐れ、関連する脆弱性は6件
今回の通知が示す影響は、Tornadoのクラッシュと機密情報の漏えいです。社内の確認では、対象パッケージを使うシステムについて、停止した場合の業務影響と、扱う情報の両方を整理するのがよいでしょう。
通知には、関連する脆弱性の識別番号として、CVE-2026-91992、CVE-2026-91990、CVE-2026-103263、CVE-2026-103262、CVE-2024-14029、CVE-2023-54397が記載されています。更新依頼や作業記録には、個々の番号に加えて通知番号のUSN-8952-1を残すと、確認対象を共有しやすくなります。
日本での提供は発表には書かれていません。
修正版はUbuntuの版ごとに確認
Canonicalが案内したpython3-tornadoの修正版は、次のとおりです。同じパッケージ名でも、Ubuntuの版によって確認すべき番号が違います。
- Ubuntu 26.10：
6.5.5-5ubuntu1.1
- Ubuntu 26.04 LTS：
6.5.4-0.1ubuntu0.2
- Ubuntu 24.04 LTS：
6.4.0-1ubuntu0.6
- Ubuntu 22.04 LTS：
6.1.0-3ubuntu0.1~esm6
- Ubuntu 20.04 LTS：
6.0.3+really5.1.1-3ubuntu0.1~esm7
- Ubuntu 18.04 LTS：
4.5.3-1ubuntu0.2+esm4
- Ubuntu 16.04 LTS：
4.2.1-1ubuntu3.1+esm4
確認記録は「更新済み」の一言で終わらせず、Ubuntuの版とpython3-tornadoの版をセットで残す方法が適しています。別のUbuntu向けの番号と比べて、未更新と判断しないようにします。
影響する会社・しない会社
- 影響する: 上記のUbuntuでpython3-tornadoを導入している会社は、今回の修正案内との照合が必要です。利用している業務システムと管理担当者を特定してください。
- 影響する: 対象サーバーの管理を委託している会社は、委託先にOSの版、パッケージの導入版、修正の適用状況を確認する必要があります。
- 影響しない: python3-tornadoを導入していない環境は、今回案内されたパッケージ更新の対象ではありません。ただし、それだけでシステム全体の安全性を判断することはできません。
- 影響しない: 記載されたUbuntu以外の環境について、影響しないと判断できる条件は発表には書かれていません。今回の一覧だけで対象外と決めないでください。
情シスが今日やること
以下は、社内での確認と更新を進めるための手順案です。
- 今日の確認作業では、資産管理台帳と各サーバーのパッケージ一覧を見比べます。Ubuntuの版、python3-tornadoの有無と導入版、システム名、管理担当者を一つの一覧にまとめてください。
- 対象が見つかったら、システム担当者や委託先へUSN-8952-1と該当する修正版の番号を送ります。更新担当者、作業予定日、業務への影響を確認し、未確認の環境も区別して記録してください。
- 更新作業の前に、担当者と動作確認の項目を決めます。対象システムで使う機能を整理し、更新後に誰が確認するかまで決めておきます。
- 更新後はパッケージ一覧をもう一度確認します。該当するUbuntu向けの修正適用を確認し、動作確認の結果とともに記録してください。今日中に更新できない環境は、次の確認日と担当者を残し、作業が未完了であることを関係者へ共有します。
