AL2023 で CVE-2026-98432 のカーネル更新を確認してみた（Linux カーネルの TCP の脆弱性）
はじめに
2026 年 10 月 15 日、Linux カーネルの IPv4 TCP の処理に関する脆弱性 CVE-2026-98432 が公開されました。再送された SYN に対する SYNACK の組み立てと、子ソケットの解放が競合し、解放済みの IP オプションを参照してしまう問題で、CVSS スコアは 9.8 · Critical と案内されています。
Anthropic は、MPTCP（Multipath TCP）のリスナーを持つ Linux サーバーに対し、認証なしで root 権限のコマンド実行に至るエクスプロイトを 2026 年 10 月 27 日に公開しています。
Amazon Linux Security Center では、Amazon Linux 2023（AL2023）の kernel6.18 と kernel6.12 に ALAS が出ています。
この記事では、AL2023（x86_64）で、修正版のカーネルに更新する方法を確認しました。
検証環境
リージョンは ap-northeast-1、インスタンスタイプは t8i.micro（x86_64）です。
| AMI 名 | 起動時のカーネル |
|---|---|
| al2023-ami-2023.12.20261021.0-kernel-6.18-x86_64 | 6.18.54-121.166.amzn2023 |
| al2023-ami-2023.12.20261021.0-kernel-6.12-x86_64 | 6.12.111-136.204.amzn2023 |
| al2023-ami-2023.12.20261028.0-kernel-6.1-x86_64 | 6.1.189-236.399.amzn2023 |
| al2023-ami-2023.7.20250331.0-kernel-6.12-x86_64 | 6.12.20-23.97.amzn2023 |
| al2023-ami-2023.12.20260622.0-kernel-6.1-x86_64 | 6.1.175-219.357.amzn2023 |
AL2023 のリポジトリは、AMI の作成で使われたリリースに固定されています。インスタンスに入っているパッケージも、その AMI のリリースのものです。新しいリリースがあるかは dnf check-release-update で確かめられます。dnf upgrade --releasever=<version> で更新すると、以後はそのリリースに固定されます。
更新前の状態
6.18.54 のインスタンスで、更新前に次のコマンドを実行しました。
uname -r
cat /etc/system-release
rpm -q kernel kernel6.12 kernel6.18
dnf check-release-update
dnf updateinfo list --cve CVE-2026-98432
6.18.54-121.166.amzn2023.x86_64
Amazon Linux release 2023.12.20261021 (Amazon Linux)
package kernel is not installed
package kernel6.12 is not installed
kernel6.18-6.18.54-121.166.amzn2023.x86_64
Version 2023.12.20261026:
Run the following command to upgrade to 2023.12.20261026:
dnf upgrade --releasever=2023.12.20261026
Version 2023.12.20261028:
Run the following command to upgrade to 2023.12.20261028:
dnf upgrade --releasever=2023.12.20261028
6.18.54 では dnf check-release-update が新しいリリースを示しましたが、最新 AMI の 6.1.189 では示されませんでした。
最後の dnf updateinfo list --cve CVE-2026-98432 は、6.18.54 と 6.12.111 の両方で何も表示しませんでした。この 2 台は修正版より前のカーネルで、表示が空でも修正済みとは限りません。
2025 年 3 月の AMI の 6.12.20 では、リリース指定なしの dnf check-update 'kernel*' も更新候補を出さず、dnf updateinfo も空でした。
uname -r
cat /etc/system-release
rpm -qa 'kernel*' 'bpftool*' 'perf*' 'python3-perf*' | sort
dnf check-update 'kernel*'; echo "check-update-exit=$?"
dnf updateinfo list --cve CVE-2026-98432
dnf check-release-update
6.12.20-23.97.amzn2023.x86_64
Amazon Linux release 2023.7.20250331 (Amazon Linux)
kernel6.12-6.12.20-23.97.amzn2023.x86_64
check-update-exit=0
6.12.20 の dnf check-release-update は、重複を除いて 61 件のリリース（2023.7.20250414 から 2023.12.20261028 まで）を示しました。6.1.175 でも同じコマンドを実行しました。更新候補も updateinfo の表示もありませんでした。dnf check-release-update は 22 件のリリース（2023.12.20260629 から 2023.12.20261028 まで）を示しました。
カーネルの更新
6.18.54、6.12.111、6.12.20 で、リポジトリを最新のリリースへ進めるコマンドを実行しました。
sudo dnf upgrade --releasever=latest
rpm -q kernel kernel6.12 kernel6.18
dnf updateinfo list --cve CVE-2026-98432
uname -r
cat /etc/system-release
6.18.54 の出力は次のとおりです（dnf の更新パッケージ一覧は省略）。
Installed:
kernel6.18-1:6.18.56-125.164.amzn2023.x86_64
Complete!
package kernel is not installed
package kernel6.12 is not installed
kernel6.18-6.18.54-121.166.amzn2023.x86_64
kernel6.18-6.18.56-125.164.amzn2023.x86_64
ALAS2023-2026-3251 Important/Sec. kernel6.18-1:6.18.56-125.164.amzn2023.x86_64
6.18.54-121.166.amzn2023.x86_64
Amazon Linux release 2023.12.20261028 (Amazon Linux)
6.12.111 と 6.12.20 では kernel6.12-6.12.113-138.209 がインストールされました。dnf updateinfo で ALAS2023-2026-3335 が表示されました。3 台とも、更新対象にはカーネル以外のパッケージも含まれ、system-release は 2023.12.20261028 になりました。6.12.20 は 2023.7 から 2023.12 まで進み、systemd、selinux-policy、sudo、vim、tzdata なども更新されました。
更新直後は、動作中のカーネルは旧バージョンのままで、旧カーネルのパッケージも残ります。一方、sudo grubby --default-kernel で確かめた既定カーネルは新しいカーネルに切り替わっていました。切り替え先は、6.18.54 では 6.18.56-125.164、6.12.111 と 6.12.20 では 6.12.113-138.209 でした。設定を変えずに再起動すると、この既定カーネルで起動しました。
カーネルだけを更新する場合、ALAS は次のコマンドを案内しています。
# kernel6.18
dnf update kernel6.18 --releasever 2023.12.20261026
dnf update --advisory ALAS2023-2026-3251 --releasever 2023.12.20261026
# kernel6.12
dnf update kernel6.12 --releasever 2023.12.20261028
dnf update --advisory ALAS2023-2026-3335 --releasever 2023.12.20261028
再起動後の確認
再起動後、6.18.54、6.12.111、6.12.20 の uname -r は ALAS の修正版のバージョンと一致しました。
| 起動時のカーネル | 更新前の updateinfo | 更新直後（再起動前）の updateinfo | 再起動後の updateinfo | 再起動後の uname -r |
|---|---|---|---|---|
| 6.18.54（kernel6.18） | 表示なし | ALAS2023-2026-3251 | 表示なし | 6.18.56-125.164.amzn2023.x86_64 |
| 6.12.111（kernel6.12） | 表示なし | ALAS2023-2026-3335 | 表示なし | 6.12.113-138.209.amzn2023.x86_64 |
| 6.12.20（kernel6.12、2025 年 3 月） | 表示なし | ALAS2023-2026-3335 | 表示なし | 6.12.113-138.209.amzn2023.x86_64 |
| 6.1.189（kernel 6.1） | 表示なし | 表示なし（更新対象なし） | 再起動なし | 再起動なし |
| 6.1.175（kernel 6.1） | 表示なし | 表示なし（6.1.189 に更新） | 再起動なし（切り替えは下の節） | 再起動なし（切り替えは下の節） |
更新が済んだかどうかは、再起動後の uname -r と ALAS の修正版を比べて確かめます。
kernel 6.1 のインスタンス
最新 AMI の 6.1.189 と、2026 年 6 月の AMI の 6.1.175 で dnf upgrade --releasever=latest を実行しました。
6.1.189 は、リリースを最新にしても更新対象がありませんでした。
Dependencies resolved.
Nothing to do.
Complete!
kernel-6.1.189-236.399.amzn2023.x86_64
package kernel6.12 is not installed
package kernel6.18 is not installed
6.1.189-236.399.amzn2023.x86_64
Amazon Linux release 2023.12.20261028 (Amazon Linux)
6.1.175 は 6.1.189 に更新され、既定カーネルも 6.1.189 に切り替わりました。dnf updateinfo に advisory は表示されませんでした。
sudo dnf upgrade --releasever=latest
rpm -q kernel kernel6.12 kernel6.18
dnf updateinfo list --cve CVE-2026-98432
uname -r
cat /etc/system-release
sudo grubby --default-kernel
kernel-6.1.175-219.357.amzn2023.x86_64
kernel-6.1.189-236.399.amzn2023.x86_64
package kernel6.12 is not installed
package kernel6.18 is not installed
6.1.175-219.357.amzn2023.x86_64
Amazon Linux release 2023.12.20261028 (Amazon Linux)
/boot/vmlinuz-6.1.189-236.399.amzn2023.x86_64
6.1.189 には、現時点で修正版のパッケージが存在しないため、修正には kernel6.12 または kernel6.18 へ切り替えます。AL2023 のカーネル更新ガイドには、起動済みのインスタンスを 6.1 または 6.12 から 6.18 へインプレースで切り替える手順が案内されています。
6.1.175 のインスタンスで、リリースを 2023.12.20261028 まで進めた後に、6.12 への切り替えを試しました。
sudo dnf install -y kernel6.12
version=$(rpm -q --qf '%{version}-%{release}.%{arch}\n' kernel6.12 | sort -V | tail -1)
sudo grubby --set-default "/boot/vmlinuz-$version"
sudo grubby --default-kernel
sudo reboot
uname -r
kernel6.12 のインストール結果と既定カーネルの確認結果は次のとおりです。
Installed:
kernel6.12-1:6.12.113-138.209.amzn2023.x86_64
Complete!
/boot/vmlinuz-6.12.113-138.209.amzn2023.x86_64
再起動後の uname -r は ALAS の修正版のバージョンと一致しました。
6.12.113-138.209.amzn2023.x86_64
まとめ
CVE-2026-98432 について、AL2023 では kernel6.18 と kernel6.12 に修正版のパッケージが提供されていることを確認しました。
一方、2026 年 6 月まで AL2023 のデフォルトカーネルだった kernel 6.1 には、現時点で修正版がありません。kernel 6.1 はメンテナンスサポートの期間中で、CVSS 7.0 以上の CVE は修正のバックポート対象です。この CVE も対象に含まれるため、修正版は今後提供される見込みです。
修正版を待たずにすぐ適用したい場合は、kernel6.12 または kernel6.18 へ切り替えます。修正版がある系統でも、リポジトリは AMI のリリースに固定されているため、OS のリリースを進める必要があります。
MPTCP のリスナーを持つサーバーに対しては、認証なしで root 権限のコマンド実行に至るエクスプロイトが公開済みです。AL2023 の kernel6.12 では、既定で MPTCP が有効です。特に、EIP や NLB 経由で EC2 を外部に公開している場合は影響を受ける可能性が高いため、修正版のカーネルへの更新を検討してください。リリースを進めるとカーネル以外のパッケージも更新され、OS の再起動も必要になります。事前に AMI やスナップショットを取得し、可能であれば AMI から起動した環境で評価してから実施することをおすすめします。
