本文へスキップ
株式会社オブライト
Network & Infrastructure2026-11-01約14分で読めます

Linux カーネル CVE-2026-98432ほか6件 — 11月1日の脆弱性まとめ（悪用確認0件）

Linux カーネルの IPv4 TCP の欠陥 CVE-2026-98432（CVSS 9.8）は、RHEL と Ubuntu の修正版が11月1日時点で未公開。まず対象サーバーの洗い出しを今日中に。pgAdmin・LXD・WordPress プラグイン4件の対処もまとめた。確認済みの悪用は0件。

脆弱性情報まとめセキュリティITリスク対策CVE脆弱性LinuxWordPress

Linux カーネルの IPv4 TCP 処理に、認証なしで遠隔から突ける深刻な欠陥（CVE-2026-98432、CVSS 9.8）が見つかった。Linux サーバーを持つ会社は、まず対象機を洗い出す。11月1日時点では、Red Hat と Ubuntu の修正カーネルがまだ公開されていない。 Debian は修正版が出ている。Red Hat は暫定策として、ファイアウォールの規則を公開している。あわせて、管理ツール pgAdmin（CVE-2026-116241、CVSS 9.9）、仮想化基盤 LXD（CVE-2026-112816、CVSS 10.0）、WordPress プラグイン4件も整理した。今回の7件は、CISA の悪用確認済み一覧（KEV）に載っておらず、悪用確認は0件である。

11月1日時点の CVE 記録、各社の公開ページ、CISA KEV（10月30日版）、WordPress.org の情報に基づく。NVD の個別ページは取得できなかったため、CVSS は CVE 記録の付与元（CNA）の値を併記する。明記のない点は「記載なし」とする。

今日の脆弱性一覧

製品CVE深刻度（CVSS）悪用状況対処（修正版）
Linux カーネル（IPv4 TCP）CVE-2026-984329.8 Critical（Linux カーネル CNA、v3.1）KEV 未掲載上流は 6.1.190・6.6.159・6.12.113 など。Debian は修正済み。Red Hat・Ubuntu は修正版未公開（11/1確認）
pgAdmin 4CVE-2026-1162419.9 Critical（PostgreSQL CNA、v3.1）KEV 未掲載9.19
Canonical LXDCVE-2026-11281610.0 Critical（Canonical CNA、v4.0）KEV 未掲載6.10.1・5.21.9・5.0.11・4.0.15
WordPress「SimpleForm」CVE-2026-1182359.8 Critical（Wordfence CNA、v3.1）KEV 未掲載3.10.2 以下が対象。最新版は 3.11.0
WordPress「FunnelKit Automations」CVE-2026-397389.8 Critical（Patchstack CNA、v3.1）KEV 未掲載3.8.6.2
WordPress「Project Manager」CVE-2026-1165129.8 Critical（Wordfence CNA、v3.1）KEV 未掲載4.1.1 以下が対象。最新版は 4.1.2
WordPress「PDF Invoice for WooCommerce」CVE-2026-1092209.8 Critical（Wordfence CNA、v3.1）KEV 未掲載7.1.1 以下が対象。最新版は 7.2.0

1. Linux カーネル CVE-2026-98432 — 認証なしで遠隔から突ける use-after-free

Linux カーネルが TCP 接続を受け付ける途中で、接続要求に付いた IPv4 オプションの領域を、別の処理がまだ読んでいる最中に解放してしまう欠陥である（use-after-free）。CVE の記録は、修正が「解放を RCU の猶予期間の後に行う」変更だと説明している。Red Hat は、認証不要の遠隔の攻撃者がカーネルのメモリ破壊やクラッシュを起こせ、リモートコード実行の可能性もあると説明する。成功には要求の精密なタイミングが必要とも書いている。

- 深刻度: CVSS v3.1 で 9.8（Critical）。付与元は Linux カーネル CNA。ベクターは AV:N/AC:L/PR:N/UI:N。Red Hat も同じ 9.8 を示しているが、「暫定値」と断っている。Ubuntu の優先度は High
- 影響: CVE の記録では、4.4 以降で、下記の修正版より前のカーネルが対象。対象外は 4.4 より前
- 上流の修正版: 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10、7.3
- ディストリビューション（11月1日確認）: Debian は bookworm が 6.1.190-1、trixie が 6.12.113-1 で修正済み。Red Hat は RHEL 8・9・10 と OpenShift が影響対象で、修正版は未公開（「修正を急いでいる」との記載）。Ubuntu は 22.04・24.04・26.04 などが「脆弱」で、修正は作業中の表示
- 悪用: Red Hat のセキュリティ速報に悪用状況の記載はない。CISA KEV にも未掲載（10月30日版で確認）。ただし 10月末の公開直後で、状況は変わり得る
- 暫定策: Red Hat は、IP オプション付きの IPv4 TCP パケットを破棄する nftables の規則を公開している。「露出を減らすが、パッチの代わりにはならず、業務に影響する場合がある」と明記しており、本番前に試験するよう求めている

確認方法: 「uname -r」で版を確認し、各社の勧告ページで修正版を見る。クラウドの Linux も対象になり得るため、提供元の対応も確認する。修正後はカーネルの更新と再起動が必要。過去の例はCopy Fail の対処も参照。公式: Red Hat RHSB-2026-016、Red Hat CVE ページ、Ubuntu、Debian、CVE 記録

2. pgAdmin 4 CVE-2026-116241 — データのインポート・エクスポート機能から OS コマンドが実行される

pgAdmin 4 は PostgreSQL を操作する管理ツールである。リリースノートによると、インポート・エクスポート機能のクエリ検査をすり抜ける書き方があり、pgAdmin を動かしているサーバー上で任意のコマンドを実行できる。過去の欠陥（CVE-2026-17566）の修正が不完全だったもので、standard_conforming_strings が off のとき、二重引用符内のバックスラッシュが問題になる。

- 深刻度: CVSS v3.1 で 9.9（Critical）、v4.0 で 9.4（Critical）。付与元は PostgreSQL CNA。権限は「低」が必要（PR:L）で、完全な未認証の欠陥ではない
- 影響: pgAdmin 4 の 9.19 より前
- 修正版: 9.19（2026年10月29日リリース）
- 回避策: 記載なし
- 悪用: 記載なし。KEV 未掲載

確認方法: 画面のメニューの「About」などで版を確認する。複数人で使う Web 版（サーバーモード）は、ログインできる全員が入口になり得るため優先して更新する。公式: pgAdmin 9.19 リリースノート、CVE 記録

3. Canonical LXD CVE-2026-112816 — 細工した証明書で信頼済みクライアントになりすませる

LXD は Linux 上でコンテナや仮想マシンを動かす基盤である。HTTPS の待ち受け部分で証明書の検証が不十分で、信頼済みクライアントの公開証明書を中間証明書として証明書チェーンに入れると、そのクライアントとして認証されてしまう。Canonical は、HTTPS API に到達できる攻撃者が対象で、権限によっては root に至り得ると説明している。

- 深刻度: CVSS v4.0 で 10.0（Critical）。付与元は Canonical CNA
- 影響（CVE 記録）: LXD の 4.0.14、5.0.10、5.21.8、6.9.0 から、それぞれ 4.0.15、5.0.11、5.21.9、6.10.1 より前
- 修正版: LXD 6.10.1・5.21.9・5.0.11・4.0.15、MicroCloud 3.4.1・2.1.5（Canonical の勧告、10月29日）。snap の安定版へ段階的に反映されるため、すぐに更新が届かない場合がある
- 更新方法: sudo snap refresh lxd（MicroCloud は sudo snap refresh microcloud）
- 悪用: 勧告に記載なし。KEV 未掲載

版は「snap list lxd」で確認できる。公式: Canonical の勧告、CVE 記録

4. WordPress プラグイン4件 — 認証なしで遠隔からコード実行などに至る（いずれも CVSS 9.8）

WordPress 本体ではなくプラグインの欠陥で、4件とも認証なしの攻撃者がサイトのサーバー上でコードを実行できる可能性がある。付与元は Wordfence または Patchstack（CNA）で、いずれも CVSS v3.1 の 9.8。悪用の記載はなく、KEV にも載っていない。

- SimpleForm（CVE-2026-118235）: ファイルアップロード機能の欠陥。末尾にドットを付けたファイル名で検査を回避し、実行可能なファイルを置ける。3.10.2 以下が対象。CVE 記録に修正版の記載はないが、WordPress.org の最新版は 3.11.0（10月28日更新）
- FunnelKit Automations（CVE-2026-39738）: 信頼できないデータのデシリアライズ（PHP オブジェクトインジェクション）。3.8.6.1 以下が対象で、修正版は 3.8.6.2（Patchstack）
- Project Manager（CVE-2026-116512）: REST API で、認可の確認より前に動的な PHP 関数が呼ばれる。4.1.1 以下が対象。CVE 記録に修正版の記載はないが、最新版は 4.1.2（10月29日更新）
- PDF Invoice for WooCommerce + Drag and Drop Template Builder（CVE-2026-109220）: 注文時の備考欄の値がデシリアライズされる。7.1.1 以下が対象。CVE 記録に修正版の記載はないが、最新版は 7.2.0（10月29日更新）

確認方法: WordPress の管理画面で「プラグイン」を開き、上記の名前と版を探す。見つかったら更新する。使っていないプラグインは、無効化ではなく削除する。SimpleForm・Project Manager・PDF Invoice は CVE 記録に修正版の明記がないため、更新後に Wordfence の個別ページで影響版から外れているか確認する。保守の考え方はWordPress の保守運用リスク、直近の WordPress の実例はwp2shell（CVE-2026-63030）を参照。

非IT担当者向け: 今日やることチェックリスト

- 自社で Linux サーバー（自社設置・クラウド・レンタルサーバー）を使っているか、情報システム担当か委託先に確認する
- Red Hat 系・Ubuntu の場合は、修正カーネルが出た日に更新・再起動できるよう担当と時間帯を決めておく
- 暫定策のファイアウォール規則は、委託先に試験環境で確認してもらってから入れる
- pgAdmin を使っている場合は 9.19 以降か、LXD を使っている場合は 6.10.1 などの修正版かを確認する
- WordPress サイトの管理画面で、FunnelKit Automations・Project Manager・SimpleForm・PDF Invoice for WooCommerce が入っていないか確認し、入っていれば更新する
- 対応した日付と担当者を記録する

出典

悪用確認が0件なら、急いで対応しなくてもよいですか。

いいえ。7件とも確認時点で KEV に載らず悪用の記載もないが、公開直後は状況が変わりやすい。対象の確認は今日進める。

Linux の修正カーネルがまだ出ていない場合、何をすればよいですか。

対象のサーバーを洗い出し、修正版が出たらすぐ更新できるよう準備する。暫定策として Red Hat が公開する nftables の規則があるが、パッチの代わりにならず業務に影響し得るため、試験環境で確認してから入れる。

WordPress プラグインは自動更新に任せてよいですか。

自動更新を有効にすれば追従しやすいが、更新後に表示や決済が壊れていないかの確認は要る。使っていないプラグインは削除する。

pgAdmin を社内だけで使っていれば、対応は不要ですか。

不要とは言えない。低い権限のログインがあれば突けるため、社内の利用者でもホスト上でコマンドを実行できてしまう。9.19 以降へ更新する。

この記事に関連する無料ツール（登録不要・その場で結果）

ホシュ診断（保守リスク健康診断）8つの質問でサイト・システムの保守リスクを3段階判定

お気軽にご相談ください

お問い合わせ