Canonical、.NETの脆弱性を修正 Ubuntuの更新は互換性確認を

Canonicalは、Ubuntu向けの.NETの複数脆弱性に対応するセキュリティ告知「USN-8942-1」を公開しました。公開日は資料に記載されていません。対象環境では指定版への更新が案内されていますが、互換性を損なう変更が含まれる可能性もあるため、更新対象の確認とアプリの動作検証をセットで進める必要があります。

Ubuntuと.NETの組み合わせで更新先が異なる

今回の対処法は、告知で指定されたパッケージ版へのシステム更新です。Ubuntuの版だけでなく、導入している.NETの系統も照合する必要があります。資料に記載された更新先は次のとおりです。

• Ubuntu 22.04 LTSの.NET 8：8.0.32
• Ubuntu 24.04 LTSの.NET 8：8.0.32
• Ubuntu 24.04 LTSの.NET 10：10.0.13
• Ubuntu 26.04 LTSの.NET 10：10.0.13
• Ubuntu 26.10の.NET 10：10.0.13
• Ubuntu 26.10の.NET 11：11.0.0~rc2

同じUbuntu 24.04 LTSでも、.NET 8と.NET 10では更新先が違います。また、Ubuntu 26.10には.NET 10と.NET 11の更新が記載されています。社内の対象を洗い出す際は、OSの名称だけで一括判定せず、.NETの版を併せて記録することが重要です。

告知の参照欄には、脆弱性の識別番号であるCVEが、重複を除いて28件掲載されています。ただし、今回の資料には個々の脆弱性の成立条件や、悪用の有無は示されていません。番号の件数だけを根拠に、自社での被害や攻撃の成立を判断することは避けてください。

セキュリティ修正だけではないため、動作確認も必要

更新パッケージには、セキュリティ修正に加えて、不具合修正と新機能が含まれています。Canonicalは、互換性を損なう変更が含まれる可能性も告知しています。

このため、情シスが確認すべきなのは「更新を適用したか」だけではありません。対象の.NETを使う業務アプリについて、更新後も必要な処理が動くかを開発担当者や保守委託先と確認する段取りが必要です。今回の資料には、影響する具体的なアプリや、互換性変更の詳細は書かれていません。

日本での提供は発表には書かれていません。国内環境での対応を決める際も、まずは告知に記載されたUbuntuと.NETの組み合わせとの照合が出発点になります。

影響する会社・しない会社

• 影響する: Ubuntu 22.04 LTSまたはUbuntu 24.04 LTSで.NET 8を運用し、指定された更新版への対応を確認する必要がある会社です。
• 影響する: Ubuntu 24.04 LTS、Ubuntu 26.04 LTS、Ubuntu 26.10で.NET 10を使う会社、またはUbuntu 26.10で.NET 11を使う会社です。業務アプリの担当者も更新計画に加える必要があります。
• 影響しない: 今回の告知に記載されたUbuntuと.NETの組み合わせを使っていない会社は、この更新の適用対象としては記載されていません。ただし、ほかの環境が安全であることまで示す告知ではありません。

情シスが今日やること

1. 今日の確認作業として、IT資産台帳と各環境のインストール済みパッケージ一覧を確認します。Ubuntuの版、.NETの系統、導入版、利用する業務アプリ、管理担当者を対応付けて記録してください。
2. 更新を手配する前に、対象一覧を開発担当者と保守委託先へ共有します。「セキュリティ修正以外の変更も含まれる」と伝え、検証する業務処理と確認担当者を決めてください。
3. 本番への適用前に、検証環境で指定版への更新と業務アプリの動作確認を行う計画を立てます。互換性に問題が出た場合の連絡先と、適用可否を判断する責任者も決めておきます。
4. 本番更新後は、導入版が上記の更新先に対応しているかと、業務処理の確認結果を記録します。資料には適用期限が書かれていないため、対象の洗い出し後に社内の更新期限と未対応環境の報告日を設定してください。