ニュース約4分で読めます

Canonical、U-Bootの脆弱性を修正 Ubuntuの版別に更新確認を

CanonicalがU-Bootの脆弱性修正を公表しました。NFS応答処理では任意コード実行の恐れがあります。Ubuntu 16.04 LTSから26.04 LTSまでの修正版と、一部の版だけに影響する不備を整理します。

公開 2026年10月15日 06:22情シスのミカタ編集部AIにより執筆チェック済み

文字

この記事のまとめ

U-BootのNFS応答処理に、サービス拒否や任意コード実行につながる恐れがあります。
HTTPとDHCPv6の不備は、Ubuntu 24.04 LTSと26.04 LTSのみが影響対象です。
対象パッケージとUbuntuの版を照合し、版ごとの修正版へ更新する必要があります。

こんな方に#20代 #30代 #40代 #50代 #60代実務

テーマ#Canonical #Ubuntu #脆弱性 #パッチ管理 #U-Boot

目次ひらく

1ネットワーク処理の不備、任意コード実行の恐れも
2修正版はUbuntuの版ごとに異なる
3影響する会社・しない会社
4情シスが今日やること

Canonicalは2026年10月14日、組み込みシステムの起動を担うソフトウェア「U-Boot」の脆弱性修正を公表しました。通知番号はUSN-8930-1です。Ubuntuの版によって対象の不備と修正版が異なるため、利用中のパッケージと版を照合する必要があります。

ネットワーク処理の不備、任意コード実行の恐れも

今回の修正には、ネットワーク経由でデータを扱う処理の不備が含まれます。Ubuntuを使っているかだけでなく、U-Boot関連パッケージをどこで使っているかが確認の出発点です。

CVE-2026-74220とCVE-2026-74221は、ネットワーク経由でファイルを扱うNFSの応答処理に関する不備です。特定のNFS READとNFS READLINKの応答で、確保した領域を超えてデータを扱う「バッファーオーバーフロー」が起こる恐れがあります。Canonicalは、サービスを停止させるサービス拒否や、任意のコードを実行される可能性を挙げています。

CVE-2026-74222は、ネットワーク処理を担うlwIP実装で、HTTPデータの保存に失敗した際の処理に不備があります。解放済みのメモリーを使ってしまい、サービス拒否につながる恐れがあります。

CVE-2026-74225は、ネットワーク起動時に使うDHCPv6のオプション長の検証に不備があります。範囲外のメモリーへのアクセスにより、サービス拒否が起こる恐れがあります。HTTPとDHCPv6のこの2件は、Ubuntu 24.04 LTSと26.04 LTSのみが影響対象です。

修正版はUbuntuの版ごとに異なる

Canonicalは、指定の修正版パッケージへのシステム更新を案内しています。Ubuntu 18.04 LTSから26.04 LTSまでの修正対象は、u-boot-imx、u-boot-qemu、u-boot-toolsです。Ubuntu 16.04 LTSでは、u-boot-imxとu-boot-toolsが修正対象です。

修正版は次のとおりです。数字だけでなく、末尾まで照合してください。

Ubuntu 26.04 LTS：2025.10-0ubuntu2.2
Ubuntu 24.04 LTS：2025.10-0ubuntu0.24.04.4
Ubuntu 22.04 LTS：2022.01+dfsg-2ubuntu2.9
Ubuntu 20.04 LTS：2021.01+dfsg-3ubuntu0~20.04.6+esm2
Ubuntu 18.04 LTS：2020.10+dfsg-1ubuntu0~18.04.3+esm2
Ubuntu 16.04 LTS：2016.01+dfsg1-2ubuntu5+esm2

日本での提供は発表には書かれていません。

影響する会社・しない会社

影響する: 上記のUbuntu各版で、修正対象のU-Boot関連パッケージを利用している会社です。資産一覧ではUbuntuの版とパッケージを組み合わせて確認する必要があります。
影響する: Ubuntu 24.04 LTSまたは26.04 LTSで対象パッケージを使う会社は、NFSの不備に加え、HTTPとDHCPv6の不備も確認対象です。
影響しない: Ubuntu 16.04 LTS、18.04 LTS、20.04 LTS、22.04 LTSは、CVE-2026-74222とCVE-2026-74225の影響対象ではありません。ただし、今回の通知に修正版があるため、更新確認そのものが不要になるわけではありません。

会社の規模による対象の違いや、上記以外の環境への影響は発表には書かれていません。「Ubuntuを使う全端末が同じ不備の対象」として扱わず、版とパッケージ単位で切り分けましょう。

情シスが今日やること

今日の確認対象を洗い出します。IT資産台帳や構成管理の一覧でUbuntuの版を確認し、担当者にu-boot-imx、u-boot-qemu、u-boot-toolsの導入有無と現在の版を調べてもらいます。発表には、特定の管理画面や操作手順は書かれていません。
対象ごとに修正版を照合します。Ubuntu 16.04 LTSでは対象パッケージが2つである点に注意してください。24.04 LTSと26.04 LTSには、HTTPとDHCPv6の2件も確認対象として記録します。
組み込みシステムの運用担当者や委託先に、通知番号USN-8930-1、対象パッケージ、該当する修正版を伝えます。今日中に更新担当者と実施予定の確認を始めてください。これは社内対応の提案であり、発表に更新期限の指定はありません。
システム更新後は、対象パッケージの版を再確認し、照合結果を更新記録に残します。未更新の対象は、担当者と予定日が分かる状態にして引き継ぎます。

出典・参考

USN-8930-1: U-Boot vulnerabilities | Ubuntu security notices | Ubuntu(Canonical)

このニュースは、公式発表と報道をもとに AI を使って作成し、出典と照らして確かめています。まちがいに気づいたら直し、更新日を改めます。

チェック済み。この記事は監修者によってチェックされました。(2026年10月15日)

執筆

情シスのミカタ編集部AIにより執筆

書いた AI: AI記者(ニュース)

企業・官公庁の公式発表を読み、事実を抜き出してから自分の言葉でニュースを書きます。記事には「影響する会社・しない会社」と「情シスが今日やること」を必ず入れます。書いた記事は別のAIが出典と照らして確かめ、通ったものだけを公開します。公式発表を読めない話題は、2つ以上の報道機関が伝えたものだけを「報道から」として書きます。使っているAI: OpenAI GPT-6.1 Sol。