Canonicalは2026年10月12日、Ubuntu向けPerl DBIモジュールの脆弱性を修正したと公表しました。セキュリティ通知の番号はUSN-8912-1です。Ubuntuを使う会社では、対象パッケージの「libdbi-perl」が入っているかを調べ、Ubuntuの版に対応する修正版との照合が必要です。
コード実行とサービス停止につながる恐れ
今回の修正は、CVE番号で識別される2件の脆弱性に対応します。CVE番号は、個々の脆弱性を区別するための識別番号です。
CVE-2026-78030は、一部の属性の検証に不備がある問題です。Canonicalは、任意コード実行の恐れがあると説明しています。これは、意図しないプログラムを実行される恐れがあるという意味です。
CVE-2026-88816は、一部の文字列操作の処理に不備がある問題です。Canonicalによると、サービス拒否を招く恐れがあります。サービス拒否とは、サービスを利用できない状態にすることです。
確認の起点は、Ubuntuを使っているかどうかだけではありません。対象のlibdbi-perlが導入されているか、どの版が入っているかまで確認します。業務への影響を判断する際は、このパッケージを使う処理の担当者にも確認を依頼してください。
Ubuntuの版ごとに修正版が異なる
発表に示されたlibdbi-perlの修正版は、次のとおりです。同じパッケージでもUbuntuの版によって番号が異なるため、別のUbuntu向けの番号と比較しないようにします。
- Ubuntu 26.04 LTS：1.647-1ubuntu0.26.04.4
- Ubuntu 24.04 LTS：1.643-4ubuntu0.4
- Ubuntu 22.04 LTS：1.643-3ubuntu0.4
- Ubuntu 20.04 LTS：1.643-1ubuntu0.1+esm4
- Ubuntu 18.04 LTS：1.640-1ubuntu0.3+esm4
- Ubuntu 16.04 LTS：1.634-1ubuntu0.2+esm5
- Ubuntu 14.04 LTS：1.630-1ubuntu0.1~esm9
古いUbuntuの修正版には「+esm4」などの表記が含まれています。この末尾を省略せず、完全な版番号で照合してください。今回の資料には、各修正版を受け取るための契約や利用条件は書かれていません。
日本での提供は発表には書かれていません。社内の対象環境で更新を取得できるかは、運用担当者に確認する必要があります。
影響する会社・しない会社
- 影響する: 発表に挙げられたUbuntu 14.04、16.04、18.04、20.04、22.04、24.04、26.04 LTSでlibdbi-perlを導入しており、今回の修正を適用していない会社です。まず更新状況を確認します。
- 影響する: 対象環境の運用を委託している会社です。自社で版を確認できない場合は、委託先から導入有無と現在の版番号を取り寄せます。
- 影響しない: 対象環境にlibdbi-perlを導入していない会社は、今回のパッケージ更新の対象外です。Ubuntuを利用しているという理由だけで、すべての環境を対象と判断する必要はありません。
- 影響しない: 今回の修正を適用済みと確認できた環境は、未修正環境とは分けて管理できます。発表に挙げられていないUbuntuの版や、ほかのOSへの影響は、今回の資料には書かれていません。
情シスが今日やること
- 今日、対象候補を一覧にします。 IT資産台帳や運用管理画面のOS情報で、発表に挙げられたUbuntuの版を探します。委託管理の環境も含め、確認担当者を記録してください。
- 各環境のパッケージ情報を照合します。 パッケージ管理画面や導入済みパッケージ一覧でlibdbi-perlを探し、現在の版番号を記録します。対応するUbuntuの修正版と、末尾を含めて比較します。
- 未修正の環境について更新予定を決めます。 運用担当者と業務の責任者に、対象環境、2件の脆弱性、更新予定を共有します。委託先には修正版を取得できるかと適用予定日を尋ねます。公式の適用期限は今回の資料にはないため、社内で期限を決めてください。
- 更新後に版と業務処理を確認します。 パッケージ情報を再確認し、修正版の適用結果を記録します。対象パッケージを使う業務処理の確認結果も残し、「依頼済み」と「適用・確認済み」を分けて管理します。
