フランスのCERT-FRは2026年10月16日、Red HatのLinuxカーネルに関する複数の脆弱性を公表しました。一部には、遠隔から任意のコードを実行されたり、権限を昇格されたりする恐れがあります。対象にはRed Hat Enterprise Linux for x86_64の8・9・10などが含まれ、利用企業は対象製品の洗い出しと修正状況の確認が必要です。
遠隔からのコード実行やサービス停止の恐れ
カーネルは、OSの中核となる部分です。CERT-FRによると、今回の複数の脆弱性には、遠隔から任意のコードを実行される問題や、本来より強い権限を得られる権限昇格の問題が含まれます。遠隔からサービス拒否を引き起こされる恐れもあります。サービス拒否とは、サービスを利用できない状態にすることです。
このほか、データの完全性や機密性が損なわれるリスク、セキュリティポリシーを回避されるリスクも挙げられています。データが不正に変更されたり、秘密にすべき情報が守られなくなったりする可能性に関わります。
ただし、これらは複数の脆弱性について挙げられたリスクです。対象のすべての製品で、同じ条件の下ですべての問題が起きるという意味ではありません。自社環境への影響は、製品ごとの勧告と照合して判断する必要があります。
修正はRed Hatのセキュリティ勧告を確認
CERT-FRは、修正の入手についてRed Hatのセキュリティ勧告を参照するよう案内しています。参照先は2026年10月9日、2026年10月12日、2026年10月14日付の勧告です。2026年10月16日の公表日だけでなく、これらの勧告を確認することが対応の出発点になります。
今回示された情報には、修正済みと判断できる具体的なカーネルの版や、各脆弱性の詳しい成立条件は書かれていません。製品名と大きな版番号が一致しただけで、未修正とも修正済みとも判断しないことが重要です。日本での修正の提供状況は、今回の発表には書かれていません。
影響する会社・しない会社
- 影響する: Red Hat Enterprise Linux for x86_64 8・9・10を利用している会社です。これらは影響対象に含まれるため、各環境の修正状況を確認する必要があります。
- 影響する: Red Hat Enterprise Linux for Real Time 8、またはRed Hat Enterprise Linux for Real Time for NFV 8を利用している会社です。通常のサーバー向け製品だけでなく、これらの製品も棚卸しの対象にしてください。
- 影響しない: 影響しないと断定できる製品・版の条件は、今回の発表には書かれていません。ここに挙げた製品以外の利用や、更新を実施したという記録だけで、対象外と判断しないでください。
情シスが今日やること
- 今日の棚卸しで、製品名と版を確認します。 IT資産台帳やサーバー管理の記録で、OS名と版を確認してください。対象製品が見つかったら、稼働中のカーネルの版と運用担当者も記録します。委託管理の環境は、委託先に同じ項目の回答を依頼します。
- Red Hatの勧告と照合します。 CERT-FRが参照する2026年10月9日、2026年10月12日、2026年10月14日付の勧告で、自社製品に該当するものを確認します。修正の入手方法と適用条件を確認し、対象サーバーごとに対応状況を整理してください。
- 対象が分かった時点で、業務責任者に共有します。 対象システム、勧告との照合結果、修正作業の予定を伝えます。停止を伴うかなど、まだ確認できていない項目は未確認と明記し、作業日程を調整してください。
- 修正後の確認までを作業に含めます。 勧告に沿って修正した後、適用結果と稼働状態を確認します。確認した版、実施日、担当者を残し、修正の入手や適用条件を確認できていない環境は、対応済みの一覧に混ぜずに管理してください。
