フランスの CERT-FR は2026年10月16日、Ubuntu と SUSE が10月6日〜15日に出した Linux カーネルの更新をまとめて公表しました。米国の CISA が「悪用を確認した」とする脆弱性3件の修正も入っています。カーネルの入れ替えと再起動が要ります。
CERT-FR がまとめた2本の注意喚起
CERT-FR の注意喚起は、配布元ごとに1本ずつです。
| 配布元 |
CERT-FR の番号 |
元の告知 |
CVE の数(重複を除く) |
| Ubuntu(Canonical) |
CERTFR-2026-AVI-1333 |
カーネルの USN 14本(10月9日〜15日) |
1,909件 |
| SUSE |
CERTFR-2026-AVI-1335 |
SUSE-SU 14本(10月6日〜15日) |
605件 |
CVE の数は編集部が各告知から数えました。CERT-FR は「修正は各社の告知を参照」としており、修正版は Canonical と SUSE の告知で確かめます。Ubuntu には1本で1,050件を扱う告知(USN-8917-1)もあります。CERT-FR は危険の種類として、権限の昇格・サービス妨害・情報漏えいなどを挙げています。
悪用が確認された3件の修正も入っている
米 CISA の「悪用が確認された脆弱性の一覧(KEV)」の10月16日版と照らすと、3件が含まれていました。
| CVE |
中身(CISA の説明) |
KEV に載った日 |
今回の告知で直る主なもの |
| CVE-2026-53362 |
IPv6 の処理を通じた権限の昇格 |
2026年8月27日 |
Ubuntu 24.04 の標準カーネル(6.8)と AWS・GCP・Azure などの系列 |
| CVE-2026-53266 |
ebtables の範囲外への書き込み |
2026年9月18日 |
Ubuntu 22.04・24.04 の NVIDIA・GCP などの系列、SUSE 15 SP4〜SP6 |
| CVE-2025-39964 |
暗号の仕組み(AF_ALG)の競合状態 |
2026年9月18日 |
SUSE 15 SP4・SP5 |
CISA は米国の連邦機関に、8月30日・9月21日までの対応を求めていました。Ubuntu の CVE のページでは、24.04 の標準カーネルへの CVE-2026-53362 の修正は今回の 6.8.0-147.147 で入りました。Ubuntu の優先度は3件とも High です。
一方、CVE-2026-53266 は、20.04 の標準カーネル(5.4)が「needed(修正待ち)」のままです(10月18日時点)。
Ubuntu: 版ごとの修正版
下の版以上が入り、再起動まで済んでいれば対応済みです。uname -r では「6.8.0-147-generic」と出るので、真ん中の数字で見分けます。
| Ubuntu の版 |
カーネルの系列 |
修正版(この版以上) |
告知 |
| 24.04 LTS |
標準(6.8) |
6.8.0-147.147 |
USN-8917-1(10月13日) |
| 24.04 LTS |
HWE(7.0) |
7.0.0-38.38~24.04.4 |
USN-8887-3(10月9日) |
| 22.04 LTS |
NVIDIA 向け(5.15) |
5.15.0-1112.113 |
USN-8875-2(10月9日) |
| 22.04 LTS |
lowlatency の HWE(6.8) |
6.8.0-146.146.1~22.04.1 |
USN-8903-2(10月9日) |
| 20.04(ESM) |
標準(5.4) |
5.4.0-242.262 |
USN-8919-1(10月13日) |
| 18.04(ESM) |
標準(4.15) |
4.15.0-261.273 |
USN-8921-1(10月13日) |
| 16.04(ESM) |
標準(4.4) |
4.4.0-289.323 |
USN-8923-1(10月13日) |
| 14.04(ESM) |
標準(3.13) |
3.13.0-218.269 |
USN-8924-1(10月13日) |
22.04 の標準カーネル(5.15)は、10月6日の USN-8875-1(5.15.0-198.208)で更新されています。24.04 の Azure 向け(USN-8918-1)など、クラウド向けは系列ごとに別の USN です。20.04 以前は Ubuntu Pro の ESM で配られます。20.04・18.04 のクラウド向けは10月14日の記事でも扱いました。
各 USN は、更新の後に再起動が要るとしています。
After a standard system update you need to reboot your computer to make all the necessary changes.
出典: Canonical「USN-8919-1」
また、ABI(カーネルと部品の約束ごと)が変わるため、自分で入れたカーネルのモジュールは作り直しと入れ直しが要る、とも書いています。GPU のドライバーやセキュリティ製品のエージェントが当たります。
UbuntuのセキュリティノートUSN-8919-1(20.04・18.04のカーネル)出典: Canonical(Ubuntu)(引用)
SUSE: 製品ごとの修正版
SUSE の14本は、重要度がすべて「important」です。主な製品の修正版は次のとおりです。
| 製品 |
修正版のカーネル |
告知(CVE の数) |
| SLES 15 SP6・openSUSE Leap 15.6 |
6.4.0-150600.23.138.1 |
SUSE-SU-2026:4660-1(124件) |
| SLES 15 SP5・Leap 15.5・SLE Micro 5.5 |
5.14.21-150500.55.192.2 |
SUSE-SU-2026:4667-1(110件) |
| SLES 15 SP4・Leap 15.4・SLE Micro 5.3/5.4・SUSE Manager 4.3 |
5.14.21-150400.24.243.1 |
SUSE-SU-2026:4668-1(86件) |
| SLE Real Time 15 SP7 |
kernel-rt 6.4.0-150700.7.78.1 |
SUSE-SU-2026:4640-1(508件) |
| SLES 12 SP5(LTSS など) |
4.12.14-122.333.2 |
SUSE-SU-2026:4687-1(229件) |
| SLES 16.0・SUSE Linux Micro 6.2 |
動いているカーネルへの Live Patch |
SUSE-SU-2026:24173-1 ほか(各20件) |
表のほか、SLES 11 SP4 の LTSS EXTREME CORE 向け(SUSE-SU-2026:4639-1)も出ています。SLES 15 SP7 の通常のカーネルは、今回の一覧にありません(SP7 はリアルタイム向けだけ)。入れ方は YaST のオンライン更新か zypper patch です。
SUSEのカーネル更新の告知SUSE-SU-2026:4660-1(SLES 15 SP6など)出典: SUSE(引用)
再起動なしで済ませられるか
Ubuntu の Livepatch と SUSE の Live Patching は、動いているカーネルに一部の修正を当てる仕組みです。どちらも再起動の代わりにはなりません。
- Ubuntu: 対象は深刻度が critical・high の脆弱性で、Canonical は「再起動の代わりではない」と明記しています。直近の LSN-0122-1(10月7日)の150件のうち、今回の USN と重なるのは11件です。KEV の3件は、2026年の Livepatch の告知にありません。
- SUSE: 対象は SUSE の CVSS で7以上の脆弱性などで、通常のカーネル更新は再起動が要るとしています。今回の一覧の Live Patch は、SLES 16.0 と SUSE Linux Micro 6.2 向けだけでした。
なお、今回の更新には PwnEscape(CVE-2026-99999) の修正は入っていません。Red Hat のカーネルも同じ日に CERT-FR が取り上げました(Red Hat の記事)。
影響する会社・しない会社
- 影響する: Ubuntu 24.04・22.04 LTS のサーバーや PC を使う会社。系列(標準・HWE・クラウド向けなど)ごとに修正版が違います。
- 影響する: Ubuntu 20.04 以前を Ubuntu Pro(ESM)で使い続けている会社。
- 影響する: SLES 15 SP4〜SP6・12 SP5・16.0、openSUSE Leap 15.4〜15.6、SLE Micro 5.3〜5.5、SUSE Manager 4.3 を使う会社。
- 影響する: クラウドの仮想マシンで Ubuntu や SUSE を動かす会社。OS の更新は利用者の担当です。
- 影響しない: Windows・macOS だけの会社、Red Hat 系だけの会社(別の告知です)。
- 影響しない: OS をクラウドの会社が管理するサービス(サーバーレスなど)だけを使う会社。
情シスが今日やること
- 対象を洗い出す。 台帳から Ubuntu と SUSE のサーバーを拾い、
uname -r の版を表の修正版と比べます。
- KEV の3件が関わる所を先に更新する。 Ubuntu 24.04 の標準カーネルと SLES 15 SP4〜SP6 が先です。今週中に再起動の枠を決め、業務の担当に知らせます。
- 独自のモジュールは検証機で試す。 GPU のドライバーなどがある機械は、先に検証機で更新と再起動をして動作を確かめます。
- 再起動の後に版を確かめる。
uname -r が新しい版になったのを見て記録を閉じます。Livepatch だけの機械は再起動の予定を残します。
- 古い版の契約を確かめる。 Ubuntu 20.04 以前や SLES 12 SP5 は、Ubuntu Pro や LTSS の契約が無いと修正が届きません。期限と移行の予定を確かめます。
