Red Hat製品に複数の脆弱性、RHEL 8・10は構成別に修正確認を

CERT-FRは2026年10月23日、Red Hat製品に複数の脆弱性があると公表しました。Red Hat Enterprise Linux(RHEL)の8と10の複数構成などが対象で、一部にはセキュリティポリシーの回避や、サービスを利用できなくするサービス拒否につながる問題があります。情シスは利用中の製品とサポート契約を確認し、対応する修正情報を照合する必要があります。

RHEL 8・10の複数構成や延長サポートの一部が対象

注意喚起の識別番号は「CERTFR-2026-AVI-1373」です。対象には、Red Hat Enterprise Linux for x86_64、Red Hat Enterprise Linux for ARM 64、Red Hat Enterprise Linux for IBM z Systemsの、それぞれ10と8が含まれます。

また、Red Hat CodeReady Linux Builderの一部も影響を受けます。延長サポートやSAP向け更新サービスの一部も対象です。「RHELを使っているか」だけでなく、どの製品構成とサポートを利用しているかまで確認することが、今回の対象を絞る出発点になります。確認する版を8と10だけに限定せず、利用環境ごとに対象条件を照合してください。

日本での提供は発表には書かれていません。国内の利用環境についても、地域名だけで判断せず、実際の製品・版・サポート条件をベンダーの情報と照合してください。

修正方法は対応するRed Hatの情報で確認

CERT-FRは、2026年10月16日から2026年10月22日付のRed Hatセキュリティ情報を参照先として挙げています。修正プログラムの入手についても、ベンダーのセキュリティ情報を確認するよう案内しています。

関連するCVE(脆弱性を識別する番号)として、CVE-2025-38147、CVE-2025-68745、CVE-2026-31411、CVE-2026-31581、CVE-2026-31772、CVE-2026-43020、CVE-2026-43450が掲載されています。

ただし、今回の資料だけでは、それぞれの番号がどの製品構成や影響に対応するかは分かりません。ベンダーが詳細を明示していないセキュリティ上の問題も挙げられています。番号の一覧だけで更新対象を決めず、対応するセキュリティ情報の対象条件と修正内容を読む必要があります。

影響する会社・しない会社

• 影響する: RHEL 8または10を、x86_64、ARM 64、IBM z Systemsの対象構成で利用している会社です。個々の環境に必要な修正は、ベンダー情報との照合が必要です。
• 影響する: Red Hat CodeReady Linux Builder、延長サポート、SAP向け更新サービスの対象部分を利用している会社です。これらは一部が対象のため、利用しているという理由だけで全環境を一律に扱わないでください。
• 影響しない: 対象外と断定できる製品・版・契約条件の一覧は、発表には書かれていません。今回挙げられていない構成を、そのまま安全と判断する根拠にはできません。

情シスが今日やること

1. 資産台帳と契約情報を照合します。 OSの製品名、正確なバージョン、CPUの種類、サポート契約を確認し、資料の対象構成と照合してください。CodeReady Linux Builder、延長サポート、SAP向け更新サービスの利用有無も整理します。委託運用なら、この項目を運用会社への確認依頼に含めます。
2. CERTFR-2026-AVI-1373から、対応するRed Hatのセキュリティ情報を確認します。 参照されている2026年10月16日から2026年10月22日付の情報について、対象条件と修正プログラムの案内を環境ごとに記録します。今回の資料には、特定の管理画面の操作手順はありません。
3. 照合後、対象システムの運用担当者と業務責任者に知らせます。 対象と確認できた環境、まだ確認できていない環境を分け、ポリシー回避やサービス拒否の恐れと、必要な更新作業を共有してください。
4. 更新日と確認担当者を決めます。 今回の資料に一律の適用期限は示されていません。ベンダーの案内と業務への影響を踏まえて社内の実施日を設定し、適用結果を資産台帳や作業記録に残してください。