Linuxカーネルの脆弱性「CVE-2026-98432」に対する修正パッチが、Rocky Linux向けに公開されました。
今回、Rocky Linux公式のセキュリティアドバイザリから修正情報を確認できたため、実際のサーバーで利用可能なパッケージの確認方法と、カーネル更新手順を紹介します。
本記事では、Rocky Linux 9.7を対象に解説します。
CVE-2026-98432とは？
CVE-2026-98432は、LinuxカーネルのIPv4 TCP接続処理に存在する脆弱性です。
複数の処理が同時に実行された際、解放済みのメモリにアクセスしてしまう「Use-After-Free（解放済みメモリの使用）」が発生する可能性があります。
この問題は、条件によってはサーバーの異常動作や権限昇格につながるおそれがあり、早急な対応が推奨されます。
重要なのは、MPTCPを無効化しているだけでは、この脆弱性への対策として十分ではないという点です。
Rocky Linux 9の修正パッチが公開
Rocky Linux公式Errataに、次のセキュリティアドバイザリが公開されています。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-98432 |
| 対象OS | Rocky Linux 9 |
| アドバイザリ | RLSA-2026:93412 |
| 修正カーネル | 5.14.0-687.64.1.el9_8 |
| 対応方法 | カーネル更新と再起動 |
公式情報：
Rocky Linux Errata
errata.rockylinux.org
修正パッケージはRocky Linuxの公式リポジトリから配布されています。
1. 現在のカーネルを確認する
まず、現在使用しているカーネルを確認します。
[root@dragon ~]# uname -a
Linux dragon.AirPort 5.14.0-611.5.1.el9_7.x86_64 #1 SMP PREEMPT_DYNAMIC Tue Nov 11 22:20:27 UTC 2025 x86_64 x86_64 x86_64 GNU/Linux
[root@dragon ~]#今回確認したサーバーでは、次のバージョンが使用されていました。
5.14.0-611.5.1.el9_7.x86_64修正バージョンである 5.14.0-687.64.1.el9_8 より古いため、更新が必要です。
ただし、カーネルのバージョン番号だけで脆弱性の修正状況を判断できない場合もあります。ディストリビューション独自のバックポートがあるため、公式アドバイザリとの照合が重要です。
2. リポジトリの情報を更新する
古いメタデータが残っていると、公開済みのパッケージが検索結果に表示されない場合があります。
まず、メタデータを更新します。
[root@dragon ~]# sudo dnf clean metadata
キャッシュは期限切れとなりました
0 ファイルが削除されました
[root@dragon ~]#
[root@dragon ~]# sudo dnf makecache --refresh
Rocky Linux 9 - BaseOS 5.7 MB/s | 47 MB 00:08
Rocky Linux 9 - AppStream 4.8 MB/s | 31 MB 00:06
Rocky Linux 9 - Extras 29 kB/s | 17 kB 00:00
メタデータキャッシュを作成しました。
[root@dragon ~]#続いて、脆弱性に関する更新情報を確認します。
[root@dragon ~]# sudo dnf updateinfo info --cve CVE-2026-98432
メタデータの期限切れの最終確認: 0:00:42 前の 2026年11月07日 10時31分42秒 に実施しました。
===============================================================================
Important: kernel security, bug fix, and enhancement update
===============================================================================
更新 ID: RLSA-2026:93412
タイプ: セキュリティー
更新済み: 2026-11-06 09:14:48
バグ: 2492108 -
: 2492733 -
～中略～
: For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and other related information, refer to the CVE page(s) listed in the References section.
重大度: Important
[root@dragon ~]#利用可能なカーネルパッケージを確認します。
[root@dragon ~]# sudo dnf list --showduplicates kernel-core
メタデータの期限切れの最終確認: 0:02:21 前の 2026年11月07日 10時31分42秒 に実施しました。
インストール済みパッケージ
kernel-core.x86_64 5.14.0-611.5.1.el9_7 @anaconda
利用可能なパッケージ
kernel-core.x86_64 5.14.0-687.10.1.el9_8.0.1 baseos
kernel-core.x86_64
～中略～
kernel-core.x86_64 5.14.0-687.64.1.el9_8 baseos
kernel-core.x86_64 5.14.0-687.65.1.el9_8 baseos
kernel-core.x86_64 5.14.0-687.66.1.el9_8 baseos
[root@dragon ~]#今回の環境では、次の新しいカーネルがリポジトリに存在することを確認しました。
kernel-core.x86_64 5.14.0-687.66.1.el9_8修正パッチを含むバージョンより新しいカーネルが公開されている場合は、そちらへの更新を検討します。
なお、dnf updateinfo にCVE番号が表示されない場合でも、修正済みパッケージが存在しないとは限りません。Errataメタデータの提供状況も確認する必要があります。
3. カーネルを更新する
利用可能な更新パッケージを確認したら、保守時間帯にカーネルを更新します。
[root@dragon ~]# sudo dnf upgrade kernel kernel-core kernel-modules
メタデータの期限切れの最終確認: 0:03:39 前の 2026年11月07日 10時31分42秒 に実施しました。
依存関係が解決しました。
=======================================================================================================================================================================
パッケージ アーキテクチャー バージョン リポジトリー サイズ
=======================================================================================================================================================================
インストール:
kernel x86_64 5.14.0-687.66.1.el9_8 baseos 1.1 M
依存関係のインストール:
kernel-core x86_64 5.14.0-687.66.1.el9_8 baseos 17 M
kernel-modules x86_64 5.14.0-687.66.1.el9_8 baseos 40 M
kernel-modules-core x86_64 5.14.0-687.66.1.el9_8 baseos 31 M
トランザクションの概要
=======================================================================================================================================================================
インストール 4 パッケージ
ダウンロードサイズの合計: 89 M
インストール後のサイズ: 135 M
これでよろしいですか? [y/N]:y ←「y」を選択してエンターキー
パッケージのダウンロード:
[MIRROR] kernel-core-5.14.0-687.66.1.el9_8.x86_64.rpm: Status code: 404 for https://ftp.jaist.ac.jp/pub/Linux/rocky/9.8/BaseOS/x86_64/os/Packages/k/kernel-core-5.14.0-687.66.1.el9_8.x86_64.rpm (IP: 2001:df0:2ed:feed::feed)
[MIRROR] kernel-modules-5.14.0-687.66.1.el9_8.x86_64.rpm: Status code: 404 for https://ftp.jaist.ac.jp/pub/Linux/rocky/9.8/BaseOS/x86_64/os/Packages/k/kernel-modules-5.14.0-687.66.1.el9_8.x86_64.rpm (IP: 2001:df0:2ed:feed::feed)
[MIRROR] kernel-5.14.0-687.66.1.el9_8.x86_64.rpm: Status code: 404 for https://ftp.jaist.ac.jp/pub/Linux/rocky/9.8/BaseOS/x86_64/os/Packages/k/kernel-5.14.0-687.66.1.el9_8.x86_64.rpm (IP: 2001:df0:2ed:feed::feed)
(1/4): kernel-5.14.0-687.66.1.el9_8.x86_64.rpm 1.0 MB/s | 1.1 MB 00:01
(2/4): kernel-core-5.14.0-687.66.1.el9_8.x86_64.rpm 3.1 MB/s | 17 MB 00:05
(3/4): kernel-modules-5.14.0-687.66.1.el9_8.x86_64.rpm 4.3 MB/s | 40 MB 00:09
(4/4): kernel-modules-core-5.14.0-687.66.1.el9_8.x86_64.rpm 3.6 MB/s | 31 MB 00:08
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------
合計 8.7 MB/s | 89 MB 00:10
Rocky Linux 9 - BaseOS 1.4 MB/s | 1.7 kB 00:00
GPG 鍵 0x350D275D をインポート中:
Userid : "Rocky Enterprise Software Foundation - Release key 2022 <releng@rockylinux.org>"
Fingerprint: 21CB 256A E16F C54C 6E65 2949 702D 426D 350D 275D
From : /etc/pki/rpm-gpg/RPM-GPG-KEY-Rocky-9
これでよろしいですか? [y/N]:パッケージのダウンロード:
[MIRROR] kernel-core-5.14.0-687.66.1.el9_8.x86_64.rpm: Status code: 404 for https://ftp.jaist.ac.jp/pub/Linux/rocky/9.8/BaseOS/x86_64/os/Packages/k/kernel-core-5.14.0-687.66.1.el9_8.x86_64.rpm (IP: 2001:df0:2ed:feed::feed)
[MIRROR] kernel-modules-5.14.0-687.66.1.el9_8.x86_64.rpm: Status code: 404 for https://ftp.jaist.ac.jp/pub/Linux/rocky/9.8/BaseOS/x86_64/os/Packages/k/kernel-modules-5.14.0-687.66.1.el9_8.x86_64.rpm (IP: 2001:df0:2ed:feed::feed)
[MIRROR] kernel-5.14.0-687.66.1.el9_8.x86_64.rpm: Status code: 404 for https://ftp.jaist.ac.jp/pub/Linux/rocky/9.8/BaseOS/x86_64/os/Packages/k/kernel-5.14.0-687.66.1.el9_8.x86_64.rpm (IP: 2001:df0:2ed:feed::feed)
(1/4): kernel-5.14.0-687.66.1.el9_8.x86_64.rpm 1.0 MB/s | 1.1 MB 00:01
(2/4): kernel-core-5.14.0-687.66.1.el9_8.x86_64.rpm 3.1 MB/s | 17 MB 00:05
(3/4): kernel-modules-5.14.0-687.66.1.el9_8.x86_64.rpm 4.3 MB/s | 40 MB 00:09
(4/4): kernel-modules-core-5.14.0-687.66.1.el9_8.x86_64.rpm 3.6 MB/s | 31 MB 00:08
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------
合計 8.7 MB/s | 89 MB 00:10
Rocky Linux 9 - BaseOS 1.4 MB/s | 1.7 kB 00:00
GPG 鍵 0x350D275D をインポート中:
Userid : "Rocky Enterprise Software Foundation - Release key 2022 <releng@rockylinux.org>"
Fingerprint: 21CB 256A E16F C54C 6E65 2949 702D 426D 350D 275D
From : /etc/pki/rpm-gpg/RPM-GPG-KEY-Rocky-9
これでよろしいですか? [y/N]:パッケージのダウンロード:
[MIRROR] kernel-core-5.14.0-687.66.1.el9_8.x86_64.rpm: Status code: 404 for https://ftp.jaist.ac.jp/pub/Linux/rocky/9.8/BaseOS/x86_64/os/Packages/k/kernel-core-5.14.0-687.66.1.el9_8.x86_64.rpm (IP: 2001:df0:2ed:feed::feed)
[MIRROR] kernel-modules-5.14.0-687.66.1.el9_8.x86_64.rpm: Status code: 404 for https://ftp.jaist.ac.jp/pub/Linux/rocky/9.8/BaseOS/x86_64/os/Packages/k/kernel-modules-5.14.0-687.66.1.el9_8.x86_64.rpm (IP: 2001:df0:2ed:feed::feed)
[MIRROR] kernel-5.14.0-687.66.1.el9_8.x86_64.rpm: Status code: 404 for https://ftp.jaist.ac.jp/pub/Linux/rocky/9.8/BaseOS/x86_64/os/Packages/k/kernel-5.14.0-687.66.1.el9_8.x86_64.rpm (IP: 2001:df0:2ed:feed::feed)
(1/4): kernel-5.14.0-687.66.1.el9_8.x86_64.rpm 1.0 MB/s | 1.1 MB 00:01
(2/4): kernel-core-5.14.0-687.66.1.el9_8.x86_64.rpm 3.1 MB/s | 17 MB 00:05
(3/4): kernel-modules-5.14.0-687.66.1.el9_8.x86_64.rpm 4.3 MB/s | 40 MB 00:09
(4/4): kernel-modules-core-5.14.0-687.66.1.el9_8.x86_64.rpm 3.6 MB/s | 31 MB 00:08
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------
合計 8.7 MB/s | 89 MB 00:10
Rocky Linux 9 - BaseOS 1.4 MB/s | 1.7 kB 00:00
GPG 鍵 0x350D275D をインポート中:
Userid : "Rocky Enterprise Software Foundation - Release key 2022 <releng@rockylinux.org>"
Fingerprint: 21CB 256A E16F C54C 6E65 2949 702D 426D 350D 275D
From : /etc/pki/rpm-gpg/RPM-GPG-KEY-Rocky-9
これでよろしいですか? [y/N]:y ←「y」を選択してエンターキー
鍵のインポートに成功しました
トランザクションを確認しています
トランザクションの確認に成功しました。
トランザクションをテストしています
トランザクションのテストに成功しました。
トランザクションを実行しています
準備中 : 1/1
インストール中 : kernel-modules-core-5.14.0-687.66.1.el9_8.x86_64 1/4
インストール中 : kernel-core-5.14.0-687.66.1.el9_8.x86_64 2/4
scriptletの実行中: kernel-core-5.14.0-687.66.1.el9_8.x86_64 2/4
インストール中 : kernel-modules-5.14.0-687.66.1.el9_8.x86_64 3/4
scriptletの実行中: kernel-modules-5.14.0-687.66.1.el9_8.x86_64 3/4
インストール中 : kernel-5.14.0-687.66.1.el9_8.x86_64 4/4
scriptletの実行中: kernel-modules-core-5.14.0-687.66.1.el9_8.x86_64 4/4
scriptletの実行中: kernel-core-5.14.0-687.66.1.el9_8.x86_64 4/4
scriptletの実行中: kernel-modules-5.14.0-687.66.1.el9_8.x86_64 4/4
scriptletの実行中: kernel-5.14.0-687.66.1.el9_8.x86_64 4/4
検証中 : kernel-5.14.0-687.66.1.el9_8.x86_64 1/4
検証中 : kernel-core-5.14.0-687.66.1.el9_8.x86_64 2/4
検証中 : kernel-modules-5.14.0-687.66.1.el9_8.x86_64 3/4
検証中 : kernel-modules-core-5.14.0-687.66.1.el9_8.x86_64 4/4
インストール済み:
kernel-5.14.0-687.66.1.el9_8.x86_64 kernel-core-5.14.0-687.66.1.el9_8.x86_64 kernel-modules-5.14.0-687.66.1.el9_8.x86_64
kernel-modules-core-5.14.0-687.66.1.el9_8.x86_64
完了しました!
[root@dragon ~]#環境によっては kernel-modules-core や kernel-modules-extra など、関連するパッケージも存在します。
依存関係を確認し、必要なパッケージが適切に更新されることを確認してください。
本番環境では、実行前に以下の点も確認します。
- システムバックアップが取得されていること
- 再起動可能な保守時間帯であること
- 障害時に旧カーネルへ切り戻せること
4. サーバーを再起動する
カーネルパッケージを更新しただけでは、実行中のカーネルは切り替わりません。
更新完了後、再起動します。
[root@dragon ~]# sudo rebootSSHで作業している場合は接続が切断されるため、再起動後に再接続してください。
5. 修正パッチの適用を確認する
再起動後、カーネルのバージョンを確認します。
[root@dragon ~]# uname -a
Linux dragon.AirPort 5.14.0-687.66.1.el9_8.x86_64 #1 SMP PREEMPT_DYNAMIC Thu Nov 5 17:03:23 UTC 2026 x86_64 x86_64 x86_64 GNU/Linux
[root@dragon ~]#例えば、次のように表示されます。
5.14.0-687.66.1.el9_8.x86_64続いて、インストール済みのカーネルを確認します。
[root@dragon ~]# rpm -q kernel-core
kernel-core-5.14.0-611.5.1.el9_7.x86_64
kernel-core-5.14.0-687.66.1.el9_8.x86_64
[root@dragon ~]#さらに、更新履歴を確認します。
[root@dragon ~]# sudo dnf history list kernel-core
ID | コマンドライン | 日時 | 動作 | 変更さ
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------
2 | upgrade kernel kernel-core kernel-modules | 2026-11-07 10:36 | Install | 4 <
1 | | 2026-11-06 07:20 | Install | 443 >E
[root@dragon ~]#修正済みカーネルがインストールされていることと、そのカーネルで実際に起動していることは別です。
必ず uname -r で稼働中のバージョンを確認してください。
最終的には、Rocky Linux公式Errataに記載された修正情報と、稼働中のカーネルの対応関係を確認します。
6. nftablesによる暫定対策はどうなる？
修正パッチが提供される前は、nftablesによる特定のIPv4パケットの遮断が暫定対策として案内されていました。
しかし、この方法は攻撃に利用される通信の一部を制限する緩和策であり、カーネル自体の脆弱性を修正するものではありません。
今回、修正パッチが公開されたため、カーネル更新を優先することを推奨します。
すでにnftablesの暫定対策を適用している場合、パッチ適用後にルールを削除するかどうかは、通信要件やほかのセキュリティ対策との関係を確認して判断してください。
既存ルールは次のコマンドで確認できます。
sudo nft list rulesetほかのファイアウォールルールを誤って削除しないよう注意が必要です。
7. 更新情報が表示されない場合
修正パッチが公開されているにもかかわらず、サーバー側で更新情報が確認できない場合があります。
その場合は、以下のコマンドで切り分けます。
有効なリポジトリを確認します。
sudo dnf repolist --enabled利用可能なカーネルを確認します。
sudo dnf list --available kernel-coreCVEに関連するアドバイザリを確認します。
sudo dnf updateinfo list --all --cve CVE-2026-98432主な確認ポイントは、リポジトリの有効・無効設定、ミラーの同期状況、メタデータの更新状況、パッケージの除外設定などです。
dnf updateinfo に表示されないことだけを理由に、修正パッチが未公開と判断しないことが重要です。
まとめ
CVE-2026-98432に対するRocky Linux 9向け修正パッチは公開済みです。
今回確認した環境では、修正対象となる古いカーネルが稼働していましたが、公式リポジトリには修正済みの新しいカーネルが存在していました。
対応の流れは次のとおりです。
uname -rで現在のカーネルを確認dnf makecache --refreshでリポジトリ情報を更新dnf updateinfoとdnf listで修正パッケージを確認dnf upgradeでカーネルを更新- サーバーを再起動
- 修正済みカーネルで起動していることを確認
インターネットに公開しているLinuxサーバーでは、脆弱性情報の確認だけでなく、修正パッケージの公開状況を継続的に確認する運用が重要です。
特に、ディストリビューションごとに修正パッケージの公開時期が異なるため、利用しているOSの公式Errataを確認することを推奨します。
参考情報
- Rocky Linux公式Errata：https://errata.rockylinux.org/RLSA-2026:93412
- Rocky Linux公式リポジトリ：https://download.rockylinux.org/
- Red Hat Security：https://access.redhat.com/security/
コメント