Canonicalは2026年10月14日、urllib3の複数の脆弱性を修正したセキュリティ通知「USN-8926-1」を公開しました。通信の盗聴・改ざんや、サービス拒否につながる恐れがあります。Ubuntuの版によって対象となる問題と修正版が異なるため、利用中のパッケージを版別に確認する必要があります。
通信の安全性とサービス停止に関わる問題
urllib3は、HTTP通信に使うライブラリです。複数の処理から安全に接続を共用できる仕組みを備えています。
今回の通知では、脆弱性を識別する番号であるCVEが3件示されています。CVE-2026-97687は、一部の証明書検証を適切に処理しない問題です。Canonicalによると、転送通信の盗聴や改ざんにつながる恐れがあります。この問題の影響対象はUbuntu 26.04 LTSのみです。
CVE-2026-97688は、deflateという圧縮形式を使った一部の応答を復号する処理の問題です。サービスを利用できなくする「サービス拒否」を招く恐れがあり、こちらもUbuntu 26.04 LTSのみが対象です。
CVE-2026-97689は、一部のメモリ操作を適切に処理しない問題で、サービス拒否につながる恐れがあります。この問題について、版別の影響範囲は今回の資料には書かれていません。前の2件の対象条件を、そのまま当てはめないようにしてください。
修正版はUbuntuの版ごとに異なる
Canonicalは、指定の修正版へシステムを更新すれば問題を解消できるとしています。通知に示されたパッケージと修正版は次のとおりです。
- Ubuntu 26.04 LTS：python3-urllib3、2.6.3-1ubuntu1.2
- Ubuntu 24.04 LTS：python3-urllib3、2.0.7-1ubuntu0.8
- Ubuntu 22.04 LTS：python3-urllib3、1.26.5-1~exp1ubuntu0.8
- Ubuntu 20.04 LTS：python3-urllib3、1.25.8-2ubuntu0.4+esm6
- Ubuntu 18.04 LTS：python-urllib3とpython3-urllib3、いずれも1.22-1ubuntu0.18.04.2+esm5
確認では、Ubuntuの版だけでなく、パッケージ名とバージョンの末尾まで照合してください。特に18.04 LTSは、通知に2つのパッケージが挙がっています。片方の確認だけで更新作業を完了扱いにしないことが大切です。
日本での提供は発表には書かれていません。日本向けの別の提供時期や、日本語対応についても今回の資料には記載がありません。
影響する会社・しない会社
- 影響する: Ubuntu 26.04 LTSでpython3-urllib3を利用する会社です。証明書検証とdeflate応答の問題が、この版を対象として明記されています。
- 影響する: Ubuntu 24.04、22.04、20.04、18.04 LTSで、通知に挙がるurllib3パッケージを利用する会社です。それぞれの修正版との照合が必要です。
- 影響しない: Ubuntu 26.04 LTS以外は、CVE-2026-97687とCVE-2026-97688の対象ではありません。ただし、今回の通知全体への対応が不要という意味ではありません。
- 影響しない: 通知に挙がるパッケージを利用していない環境は、そのパッケージの更新対象にはなりません。別の方法で導入したurllib3や、ほかのOSの扱いは発表には書かれていません。
情シスが今日やること
- 今日の確認作業では、まずIT資産台帳のOS・バージョン欄を見て、通知に挙がるUbuntuの各版を抽出してください。台帳で分からない環境は、運用担当者や委託先に実際の版を確認します。
- 対象環境のパッケージ管理で、python3-urllib3の導入有無とバージョンを確認します。18.04 LTSではpython-urllib3も確認し、環境ごとに結果を記録してください。
- 導入済みの版を上記の修正版と照合し、更新が必要な環境を運用担当者へ知らせます。26.04 LTSについては、通信の盗聴・改ざんにつながる問題もあることを伝えてください。
- 更新対象ごとに、担当者と作業予定日を決めます。発表に更新期限は書かれていないため、業務の運用責任者と日程を合意し、指定の修正版への更新を手配してください。
- 作業後は、対象パッケージが指定の修正版になったことを再確認します。18.04 LTSは2つのパッケージをそれぞれ確認し、結果と未対応の環境を運用責任者へ報告してください。
