CVE-2026-98432: カーネルの修正を待つことが懸念される場合

#なぜ待つことが重要なのか

アプリケーションが応答し続けます。その証明書は有効です。デプロイメントは成功します。これらの結果はいずれも、ネットワーク接続を受信するカーネルの欠陥が修正されたことを証明するものではありません。セキュリティ対応が未完了のままでも、サービスはまったく正常に見えることがあります。

管理者にとって、毎日が増えるということは、中間決定を維持し、発表に従い、介入の準備をすることを意味します。その期間が私たちの懸念です。この法律は、根拠のない過失の告発を支持するものではなく、また、無視によって一時的な措置を恒久的なものにすることを許可するものでもありません。

#修正は存在しますが、その配布チャネルが重要です

11 月 2 に公開された Ubuntu 発表では、サポートされているいくつかのリリースに対して提案されたテスト ポケットの修正について説明しています。 Ubuntu 26.04 LTS および Linux パッケージの場合、バージョン 7.0.0-43.43. という名前が付けられています。発表では、アップデートの公開はテスト後に行われると述べていますが、明確な日付は示されていません。

それによって、状況をどのように説明すべきかが変わります。修正が存在しないと言うのは不正確です。すべての Ubuntu VPS にすでにパッチが適用されていると言うのも同様に不正確です。テスト中のパッケージ、通常の更新チャネルを介したそのパッケージの可用性、およびマシン上での実際の使用は、別個の事実です。

Ubuntu のお知らせが 2 11 月に公開されました

#-提案にはまだ生産決定が必要です

Canonical は、独自の受け入れテストを実行できるチームにとって、提案されたカーネルへの早期アクセスが選択肢であると説明しています。このチャンネルを使用すると、その作業をより早く開始できます。これは、より広範な認定プロセスが完了したことを証明するものではありません。

実際のアプリケーションを提供する VPS では、この決定には再起動、ドライバー、ネットワーキング、および回復も含まれます。選択したパッケージを確認せずにリポジトリを広範囲に有効にしてアップグレードすると、意図した修正を超えて介入が拡大する可能性があります。したがって、この記事では、運用マシンを提案されたマシンに切り替えるための一般的なコマンドは提供しません。

有益な質問は、単に修正が利用可能かどうかということではありません。それは、どのチャネルがそれを提供するか、どのディストリビューションとカーネル フレーバーに対して、どのような検証を使用して提供するかです。

提案されたカーネルへの早期アクセス

#両方の VPS インスタンスがパッチ適用されたカーネルを実行している

TinyDigit VPS は 7.0.0-38 ジェネリックから 7.0.0-43 ジェネリックに移行しました。 PRNext VPS は、7.0.0-28 汎用から 7.0.0-43 汎用に移行しました。各サーバーに、バージョン 7.0.0-43.43 の 4 つの Ubuntu カーネル パッケージをインストールし、再起動後に実際に実行中のカーネルを確認しました。

インストールはこれらのパッケージに限定されており、ディストリビューションのアップグレードやグローバルな有効化は行われませんでした。以前のカーネルはブート フォールバックとして引き続き利用できます。一時的なネットワーク フィルタリングと MPTCP 設定も、このフォローアップ中に保持されます。

再起動後、各サーバーへの新しい SSH 接続を開き、テストされた PRNext および TinyDigit エンドポイントからの HTTPS 応答を確認しました。 5 つの元のアプリケーション コンテナーが存在し、準備ができています。 5 つのネイティブ エイリアスも HTTPS 経由で応答します。

外部依存関係は利用できないままです。アプリケーションの完全な回復はまだ検証する必要があります。

#実際に動作しているカーネルを確認する

ディスクにインストールされているカーネル パッケージは、現在実行中のカーネルとは異なる場合があります。介入後は、実行中のシステム、新しい SSH アクセス、HTTPS、およびそれがホストするアプリケーションをチェックする必要があります。パッケージ マネージャーが正常に終了しただけでは、作業を終了するのに十分ではありません。

これらのコマンドはサーバーを変更しません。これらは、ディストリビューションの公式トラッカーと比較するための出発点となります。パッケージ ID やディストリビューションのバックポートされた修正がなければ、バージョン番号だけでは結果を確定できません。

uname -r
cat /etc/os-release

#軽減策はカーネルの修復ではありません

当社のオリジナル ガイドには、30 10 月に適用された一時的な措置と、その後に実行されたチェックが記録されています。これは、各 VPS インスタンスの現在の状態の証拠ではなく、履歴アカウントとして残ります。

MPTCP を無効にしても、根本的な欠陥は修復されません。 Ubuntu のトラッカーには、ターゲットを絞った IPv4 オプション フィルタリングの制限についても説明されています。読み込まれたルール、パケットカウンター、またはアクセス可能な Web サイトは、あらゆる悪用パスに対する保護を保証するものではありません。

オリジナルガイド

#有用なセキュリティ更新プログラムが伝えるべきこと

マシン自体で何が修正され、何がまだテスト中で、何が残されているかについての明確な説明を期待するのは当然です。十分な検証を行わずにカーネル アップデートを導入するコストを認識することも同様に重要です。緊急性と安定性は同じ決断に属します。

私たちの立場はシンプルです。まだやらなければならない作業の中で、暫定的な措置を目に見える形で残しておく必要があります。エンドポイントは、安心させるアナウンスだけではなく、検証済みのサービスで実際に実行されているパッチ適用済みのバージョンである必要があります。 npm から PRNext への更新では、その Linux システム タスクを実行できません。