サーバーやクラウド基盤の土台となるLinux。その中核であるカーネルの基本機能「epoll(イーポール)」に、ローカルの一般ユーザーが管理者権限を奪える脆弱性が見つかりました。通称「Bad Epoll」(CVE-2026-46242)で、実証コード(PoC)が公開されています。ドイツのCERT-Bundも関連する注意喚起を出しています。
何があったか
epollは、多数の接続やファイルを効率よく監視するための、Linuxでごく一般的に使われる仕組みです。今回見つかったのは、このepollの処理に、**解放後利用(Use-After-Free、UAF)**という不具合があるというものです。
Linuxカーネルの権限昇格「Bad Epoll」の要点と対処(編集部作成)作成: 編集部 / もとの資料: kernel.orgの修正コミット・研究報告(Corgea等)を編集部が整理
入れ子(ネスト)にしたepollを同時に閉じる操作で競合状態が起き、解放済みのメモリを使ってしまいます。これを悪用すると、ローカルの一般ユーザーが、管理者(root)権限の取得や、カーネルメモリの読み取り、さらにはコンテナからの脱出につながる恐れがあります。深刻度はCVSS 7.8(High)です。
影響を受けるのは、eventpollを持つv6.4以降のカーネルです。修正は6.18.33 / 7.0.10以降(および7.1系)で提供され、各ディストリビューションも順次これを取り込んでいます。
悪用状況と、なぜ注意すべきか
2026年10月15日時点で、実際の悪用(ITW)や、CISAのKEV(悪用が確認された脆弱性の一覧)への掲載は確認されていません。その意味で「今すぐ攻撃が来る」緊急速報ではありません。
一方で、動作する実証コード(PoC)がすでに公開されています。epollは事実上あらゆるLinuxサーバーが使う広範な機能で、コンテナ内やブラウザのサンドボックス内からも誘発しうるとされます。攻撃の足がかりとして使われやすい性質のため、悪用の確認を待たずに手を打っておきたい類の脆弱性です。
影響する環境・しない環境
影響する: v6.4以降の修正前カーネルを使っているLinuxサーバー。とくに、一般ユーザーが同じサーバーにログインできる環境や、コンテナを多数動かしている基盤は、ローカルからの権限昇格・コンテナ脱出の観点で優先度が高めです。
影響が小さい: すでに修正版カーネルへ更新済みの環境。また、信頼できる管理者しか触れない単独のサーバーは、悪用の前提が満たされにくくなります(ただし更新は推奨)。
情シスが今日やること
- カーネルのバージョン確認: 社内のLinuxサーバーのカーネルを確認する(
uname -r)。v6.4以降で修正前なら対象。
- 更新の適用: 6.18.33 / 7.0.10以降、または各ディストリビューションが出す修正版カーネルへ更新し、再起動する。
- 同居環境を優先: 共有サーバーやコンテナ基盤から先に適用する。
- 更新までの緩和: すぐに再起動できない場合は、信頼できない利用者やコードを同じホストで動かさないようにする。
カーネルの更新は再起動を伴うため後回しになりがちですが、PoCが公開されている脆弱性は、時間が経つほど悪用のリスクが上がります。再起動の時間を計画的に確保しておきましょう。
