GhostLock：公になった15年前のLinuxの脆弱性

目につきやすい場所に隠されていた脆弱性

2026年7月8日、Nebula Securityのセキュリティ研究者がGhostLock (CVE-2026-43499)を公開しました。これは、マシンにログインできる任意のユーザーが完全にroot制御を掌握できる15年前のLinuxカーネルバグです。脆弱なコードは、カーネルに誤って導入された年と同じ2011年以来、ほぼすべての主要なLinuxディストリビューションでデフォルトで出荷されていました。

これが今すぐ問題となる理由は二つあります。元のパッチは4月にリリースされましたが、修正に数週間かかる新たなクラッシュバグを引き起こし、多くのマシンが依然として脆弱なままとなりました。より緊急なのは、動作するエクスプロイトコードが現在公開されていることです。つまり、完全に最新の状態になっていないLinuxマシンを所有しているすべての人が現実的なリスクに晒されています。

バグの仕組み

Linuxカーネルには、緊急タスクが軽微なタスクの順番待ちで停止するのを防ぐシステムがあります。このシステムには、タスクが待機を終了した後に整理を行うクリーンアップ手順が含まれています。通常は問題なく動作しますが、1つの稀なケース——ロック操作が行き詰まり、バックアウトする必要がある場合——に、クリーンアップコードが誤ったタイミングで実行されます。誤ったタスクの記録を消去し、すでに破棄されて再利用されたメモリへの壊れたポインタをカーネルが保持したままになります。コンピュータ科学者はこれを「use-after-free」脆弱性と呼びます。

その不正なポインタが配置されると、攻撃者はそれを悪用してカーネルを騙し、root権限で自身のコードを実行させることができます。Nebulaのテストでは、攻撃全体にかかった時間は約5秒でした。

影響を受ける対象と危険性の理由

この脆弱性は深刻ですが壊滅的ではありません。攻撃者がすでにマシンにログインしている必要があるため、深刻度は10段階中7.8（高レベルだが緊急ではない）と評価されています。インターネット経由でゼロからリモートアクセスすることはできません。

しかし、そのローカル限定という制限は言葉ほど安心できるものではありません。NebulaはGhostLockがコンテナから脱出できることを実証しました。これはクラウドサーバーやマルチテナントマシンにとって重要です。また、他の攻撃とチェーン連携します。研究者は、ブラウザのエクスプロイト（Firefox CVE-2026-10702）がブラウザ内でコードを実行し、次にGhostLockが残りの処理を行って完全なシステム制御を取得するという一連の攻撃チェーンを実証しました。彼らはこれがAndroidでも動作することを示しました。悪意のあるリンクを一度タップするだけで、完全に連動して乗っ取られる可能性があります。

修正された内容と修正されていない内容

カーネルパッチは4月にリリースされ（パッチ 3bfdc63936dd）、Linuxディストリビューションでの順次展開が始まりました。しかし、今後の道のりは複雑です。

元のパッチ自体が新たなクラッシュバグ（CVE-2026-53166）を引き起こしたため、クリーンアップが必要となりましたが、7月初旬の時点でもアップストリームカーネルへの反映が続いていました。つまり、初期にパッチ適用されたビルドには、完全な最終修正が含まれていない可能性があります。

利用可能性は大きく異なります。たとえばUbuntuは、7月初旬までに最新リリースと一部のクラウドカーネルにパッチを適用していましたが、長期サポートバージョン（24.04、22.04、20.04 LTS）は依然として脆弱、または「進行中」と記載されていました。他のディストリビューションにもそれぞれのスケジュールがあります。完全な回避策はありません（このバグを引き起こす操作はローカルプログラムにとって日常的なものです）。そのため、パッチの適用が唯一の現実的な防御策です。

今すぐ行うべきこと

ステップ 1：カーネルの更新

最初にリリースされたパッチ適用ビルドだけでなく、ご利用のディストリビューションの現在のカーネルをインストールしてください。初期パッチには二次的なクラッシュバグに対する最終修正が含まれていない可能性があるため、利用可能な最新バージョンを具体的に入手してください。ディストリビューションのセキュリティアドバイザリを確認し、修正されたパッケージバージョンを確かめてください。

ステップ 2：共有マシンの優先

サーバーやマルチテナントシステムを運用している場合は、まずそれらにパッチを適用してください。クラウドサーバー、コンテナ、CI/CDランナーは、攻撃者が最も足がかりを得やすいマシンです。個人用のマシンは共有インフラストラクチャよりも優先度が低くなります。

ステップ 3：パッチバージョンの確認

パッチが適用されたバージョンが用意されていると過信しないでください。7月初旬時点で、多くのディストリビューションではすべてのバージョンへの修正のロールアウトが完了していません。マシンにログインしてカーネルバージョンを確認し、ディストリビューションのステータスページでパッチ適用済みビルドになっているか確認してください。

ステップ 4：カーネルビルドオプションの検討（軽減策のみ）

2つのカーネルビルドオプションにより、このエクスプロイトを実行しにくくなりますが、バグ自体は解決されません。 RANDOMIZE_KSTACK_OFFSET と STATIC_USERMODE_HELPER。独自のカーネルをビルドしている場合はこれらを有効にしてください。ただし、解決策ではなく一時的な障害物として扱ってください。

これが起きた理由：AIツールが古いバグを発見している

GhostLockは、Nebula SecurityのAI駆動型バグ調査ツールVEGAによって発見されました。これは2026年の大きなトレンドの一環です。自動化ツールが、人間が何年も注意深く精読してこなかったカーネルコードを徹底的に探索しています。

GhostLockの公開のわずか数日前、Bad Epoll (CVE-2026-46242) と呼ばれる別の脆弱性が表面化しました。これは隣接するコードにある同様の権限昇格バグです。どちらも2011年に導入された futex (fast userspace mutex) システムに由来します。CISAによると、3つ目のLinuxカーネルバグである Copy Fail (CVE-2026-31431) は、すでに野外で悪用されています。

そしてLinuxだけではありません。Mythos（Anthropic）と呼ばれる別のAIモデルも、関連するカーネルの脆弱性の発見でクレジットされました。教訓：最も古く、最も使用されているカーネルコードが現在自動化ツールによって新たに精査されており、古いコードがそれに耐えきれるとは限らないということです。

より広範な状況

それ単体では、GhostLockはすでにログインしていることを必要とするローカルな脆弱性です。攻撃者がインターネット経由で直接マシンに侵入できるようにするものではありません。しかし、その認識では本当のリスクを見落としてしまいます。

ブラウザのエクスプロイトは存在し、コンテナの脱出も重要です。AndroidもLinuxカーネルで動作しています。Nebulaの研究者がGhostLockをFirefoxの脆弱性とチェーン化し、Android上で完全な攻撃を実証した際、彼らは理論上の問題を示していたのではなく、複数の脆弱性を組み合わせた攻撃者が何を達成できるかを示していたのです。

Googleはこれを十分に重要であると考え、kernelCTFバグ報奨金プログラムを通じてNebula Securityに92,337ドルを授与しました。このような緊急性にもかかわらず、エクスプロイトコードは現在公開されています。誰でも実行可能です。優先事項はパッチの適用です。

結論

GhostLockは、古いコードには関心が払われにくく、関心が薄いとバグが15年間も隠れ続ける可能性があることを思い出させてくれます。朗報：パッチが適用されており、野外でのアクティブな悪用の証拠はまだありません。悲報：利用可能性はバラバラであり、公開されたエクスプロイトコードによりパッチ適用の猶予期間が縮小していることです。Linuxを運用している場合は、今すぐご利用のディストリビューションのステータスを確認してください。

メリット

• 悪用にあたり、特別な権限、昇格アクセス、異常なカーネル設定は不要
• 極めて高い信頼性（テストでの成功率は97%）
• コンテナからの脱出が可能で、クラウドインフラストラクチャ上のリスクが倍増
• 他の攻撃とチェーン連携（ブラウザのエクスプロイト、Androidサンドボックスの回避）
• ベンダーからの迅速な対応。パッチが入手可能
• 影響を受けるバージョンおよびビルドオプションに関する明確なガイダンス
• 2026年7月時点でアクティブな野外悪用の証拠はなし

デメリット

• 2011年以降、すべての主要ディストリビューションで出荷されたデフォルトカーネル内の15年前のバグ
• 元のパッチが新たなクラッシュバグを引き起こし、追加の修正が必要となった
• パッチ適用済みカーネルの利用可能性がディストリビューションやバージョンによって不均一
• 完全な回避策はなく、唯一の防御策はパッチ適用のみ
• 公開されたエクスプロイトコードによりパッチ適用の猶予期間が終了しつつある
• 他の脆弱性とチェーン化してリモートエクスプロイト化する
• 7月初旬時点で、多くのLTSバージョン（Ubuntu 24.04、22.04、20.04）が依然として脆弱

注意

本記事は教育目的であり、公開情報に基づいて脆弱性を解説しています。パッチ適用の手順に従う場合は、プレースホルダーの値を実際のシステム詳細に置き換えてください。本番システムに適用する前に、ご利用のLinuxディストリビューションの公式アドバイザリと照らし合わせてすべての記載内容を検証してください。ここに引用されているCVE番号、パッチの参照先、影響を受けるバージョンは2026年7月時点のものであり、変更されている可能性があります。常にディストリビューションの公式セキュリティページを参照してください。

よくある質問

• GhostLockとは何ですか？なぜ危険なのですか？
• GhostLockの脆弱性はLinuxにどれくらい前から存在していますか？
• ローカルアクセスなしでGhostLockをリモートから悪用することはできますか？
• GhostLockの脆弱性の影響を受けるLinuxディストリビューションはどれですか？
• 自分のLinuxシステムがGhostLockに対して脆弱かどうかを確認するにはどうすればよいですか？
• GhostLockと他の2026年のLinuxカーネルバグの違いは何ですか？
• カーネルビルドオプションを有効にすることで、GhostLockの脆弱性は完全に修正されますか？
• Ubuntuやその他のディストリビューションでGhostLockに対してシステムにパッチを適用するにはどうすればよいですか？

タグ

#ghostlock #linuxsecurity #kernelexploit #cve202643499 #privilegeescalation #containerescap #patchmanagement #cybersecurity #linuxvulnerability #systemadmin