LinuxのSMBサーバーKSMBDに重大な欠陥2件 修正前に公開 使っているか確認を

Trend MicroのZero Day Initiative(ZDI)は2026年10月21日(協定世界時)、Linuxカーネルに入っているSMBのサーバー「KSMBD」の遠隔コード実行の欠陥2件を、カーネルのセキュリティの窓口に加え、公開のメーリングリストにも送りました。深刻度はどちらもCVSS 9.0です。修正の版やCVEの番号がそろう前に、欠陥の中身が公になった形です。

KSMBDは、Windowsのファイル共有と同じSMBの仕組みを、カーネルの中で提供するサーバーです。よく使われるSambaとは別物で、使っていなければ影響しません。まず、自社のLinuxのサーバーやNASで、KSMBDが動いているかを確かめます。

公開された2件

ZDIは、どちらもLinuxの7.3-rc3で試したとしています。どの版から影響するかは、報告にも修正にも書かれていません。2件ともCVEの番号はまだありません。The Hacker Newsによると、Linuxカーネルは安定版の修正が出てからCVEをつけます。

修正が本流のカーネルに入っても、安定版の系列と、各配布元のカーネルに届くまでには、ふつう数週間かかります(The Hacker News)。それまでの間は、使い方で危険を減らします。

なぜ修正の前に公開されたのか

The Hacker Newsによると、2件を見つけたのは、Trend MicroのAIのスキャナー「TrendAI」です。Linuxカーネルのセキュリティの文書は2026年5月に改められ、AIの道具で見つけた欠陥は、そもそも公になっているものとして、各分野の開発者の公開のリストに送るよう求めています。ZDIはこれに沿って、修正を添えずに公開のリストへ送ったとみられます。

安定版の保守担当のGreg Kroah-Hartman氏は、ZDIのほかの報告にも、修正が無いのに公開のリストに送ったことに不満を返信しています。同じ時期にZDIは、KSMBDとは関係の無いカーネルの報告(ネットワークの処理、VMwareの画面の部品、NVMeの部品)も出しています。

AIで欠陥が早く大量に見つかるようになり、修正より先に中身が公になる例は、今後も増えそうです(当社の見立て)。

KSMBDとSambaは別物

Linuxカーネルの文書によると、KSMBDは、SMB3のファイル共有をカーネルの中で動かすサーバーです。性能にかかわる読み書きはカーネルが受け持ち、利用者の管理などは、ユーザー空間の補助の仕組み(ksmbd.mountd)が受け持ちます。サーバーを起動すると、445番で接続を待ちます。

Sambaは、ユーザー空間で動く別のSMBのサーバーです。今回の2件はKSMBDの欠陥で、Sambaだけを使っている場合は対象ではありません。

使っているかどうかは、The Hacker Newsが紹介する次の方法で確かめられます。

• systemctl status ksmbd で、KSMBDのサービスが動いているかを見る
• lsmod | grep ksmbd で、KSMBDのモジュールが読み込まれているかを見る

The Hacker Newsによると、Red Hat Enterprise Linuxは、既定ではKSMBDを含めていません。一方、ルーターなどに使われるOpenWrtには、KSMBDのサーバーのパッケージ(ksmbd-server)があり、ゲストだけの共有も作れます。NASや小規模の機器の中には、KSMBDを使う製品がありえます。

影響する会社・しない会社

• 影響する: LinuxのサーバーやNASで、KSMBDを動かして共有を出している会社。とくに、445番が社外や信頼できない網から届く場合や、ゲストで使える共有がある場合です
• 影響する: SMB Directを使い、RDMAに対応した通信の機器を積んだファイルサーバーを動かしている会社(ZDI-CAN-33549)
• 確かめる: OpenWrtなどを土台にしたルーターやNASで、ファイル共有の機能を使っている会社。メーカーの告知を確かめます
• 影響しない: KSMBDを動かしていない会社。Sambaや、Windowsのファイルサーバーだけを使う場合は、今回の2件の対象ではありません

情シスが今日やること

1. KSMBDが動いているかを一覧にします。 Linuxのファイルサーバー、NAS、ルーターについて、systemctl status ksmbdやlsmod | grep ksmbdで確かめます。外部に運用を任せている機器は、委託先に聞きます。
2. 使っていなければ止めます。 KSMBDを使っていないのに動いていたら、サービスを止め、起動時に動かないようにします(当社の見立て)。
3. 使っているなら、届く範囲を絞ります。 445番を社外や信頼できない網に出さず、ゲストで使える共有を止めます。SMB Directを使っていなければ、無効のままにします(当社の見立て)。
4. 配布元とメーカーの更新を待ち、すぐ当てます。 使っている配布元のカーネルの更新と、CVEの番号がつくのを見張ります。NASやルーターは、メーカーの告知を確かめます。
5. ほかのZDIの報告も見ます。 同じ時期のZDIの報告には、ネットワークの処理、VMwareの画面の部品、NVMeの部品の欠陥もあります。仮想マシンでVMwareの画面の部品を使う環境や、NVMeの共有の機能を使う環境は、配布元の更新を同じように確かめます。