CISA alerts of active exploitation of three Linux kernel flaws

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、ハッカーが3つのLinuxカーネルの脆弱性を悪用していると警告している。そのうちの1つは「重大」と評価されている。

これら3つのセキュリティ問題は先週、それぞれ個別に登録されたもので、深刻度は「中」から「極めて深刻」の範囲に及ぶ。そのうちの1つ（CVE-2025-39964として追跡されている）は、Linuxカーネルに14年間存在していた。

CISAはこれら3つの脆弱性すべてを連邦機関に対して最優先事項として指定し、本日中までに利用可能なセキュリティ更新プログラムと緩和策を適用するよう命じた。

3つの脆弱性は以下の通りです。

  • CVE-2025-39964：カーネルのAF_ALG暗号ソケットインターフェースにおけるレースコンディション。これにより、同時書き込みによってソケットごとの状態が破損し、システムがクラッシュしたり、暗号処理の結果が改ざんされたりする可能性がある。
  • CVE-2026-53266：Linuxカーネルのebtables SNAT実装における境界外書き込みの脆弱性。これにより、影響を受けるパケット範囲を事前に書き込み可能にせずに、ARPアドレスの書き換えによって共有ファイルベースのメモリが改変される可能性がある。
  • CVE-2025-39682: Linux カーネルの TLS 受信パスにおけるロジックの欠陥。後で処理するためにキューに入れられた長さ 0 のレコードを誤って処理し、kTLS が使用されている場合に、異なる TLS レコードタイプが一緒に処理される可能性がある。

CISAは[1,2]、これらの脆弱性が攻撃に悪用されたと述べているが、インシデントの詳細や脅威アクターの性質については明らかにしていない。

攻撃的セキュリティ企業であるSTAR LabsはCVE-2025-39964を発見し、同社の研究者がAIシステムの助けを借りずにこの問題を発見したと述べている。同社は、GoogleのkernelCTFにおいて権限昇格とコンテナ脱出を達成することで、この脆弱性を実証した。

CVE-2025-39682については、Red Hatがセキュリティ情報で確認した通り、公開されているエクスプロイトが存在します。Red Hatはまた、CVE-2026-53266に対しても既知のエクスプロイトが存在することを確認しました。

研究者のKimmo Suominen氏は、GitHub上でCVE-2026-53266に関する技術分析とパッチ状況トラッカーを公開し、ファイルに裏付けられたメモリの改変を伴う潜在的な権限昇格の経路を概説している。

ただし、同研究者は、提案されたエクスプロイトチェーンは「Dirty Pipe」との類推に基づいて推測されたものであり、公開されたエクスプロイトコードを用いて実証されたものではないと指摘している。

CISAは、これら3つの脆弱性すべてを「フォレンジック・トリアージ」が必要なものと指定しています。これは、影響を受けるすべての資産について、連邦機関がすでに悪用が行われた兆候がないか調査する必要があることを意味します。

現時点では、これら3つの脆弱性のいずれも、ランサムウェアグループによって悪用されたとの報告はない。