AWS セキュリティ速報 2026-137-AWS（CVE-2026-99999）は通常の EC2 は対象外。影響範囲を確認してみた
はじめに
AWS は 2026 年 10 月 15 日、Linux カーネルに関する AWS セキュリティ速報 2026-137-AWS を公開しました。
この記事では、CVE-2026-99999 の EC2 への影響と、KVM ホストが Amazon Linux 2 / 2023 の場合の修正方法を紹介します。
速報の内容
速報が扱うのは、Linux カーネルの virtio-net/TAP の経路にある問題です。ゲスト VM 内の特権ユーザーが細工したパケットを送ると、KVM ホストのカーネルメモリが破壊され、ホストメモリの漏えいや DoS につながるおそれがあります。
EC2、Lambda、Fargate は対象外で、対応は不要とされています。速報が対象とするのは、virtio-net と KVM で VM を自己管理するホストです。Firecracker などの VMM で VM を動かす場合も含まれます。cve.org の CVE レコードでは、CVSS は 9.3 です。
回避策はなく、対象となる場合は修正済みカーネルを適用する必要があると AWS は案内しています。
対象かを確認する
判断の軸は、自分が KVM ホストを運用しているかどうかです。
通常の EC2 インスタンスでアプリケーションを動かしているだけなら、ホストは AWS の管理下にあるため対象外です。
一方、EC2 上でネスト仮想化を有効にして KVM を動かす場合は、そのインスタンスが KVM ホストになります。ネスト仮想化のユーザーガイドによると、AWS が担うのは Nitro System による EC2 インスタンス間の分離です。OS、ハイパーバイザー、ネストした VM とその中身の保護は利用者の責任です。
EC2 でネスト仮想化を有効にして KVM ホストを構築する手順は、次の記事で紹介されています。
c8i.metal-48xl や c8i.metal-96xl のようなベアメタルインスタンスで VM 基盤を動かす場合も、そのインスタンスが KVM ホストです。
修正方法
KVM ホストの OS が Amazon Linux 2 または Amazon Linux 2023 なら、各 OS の更新ガイドに従って、修正済みカーネルを含む最新のパッケージを適用してください。
Amazon Linux 以外
Amazon Linux 以外の OS は、各ベンダーの対応ページで修正の提供状況を確認し、提供されていれば適用します。
まとめ
CVE-2026-99999 は CVSS 9.3 のクリティカルな脆弱性です。ただし、速報が影響を受けるとしているのは、virtio-net と KVM で VM を自己管理しているホストです。具体的には、EC2 でネスト仮想化を有効にして KVM を動かす場合や、ベアメタルインスタンスで VM 基盤を動かす場合です。
ゲスト VM の利用者に特権を渡している環境では、修正済みカーネルの適用を優先してください。
