SIPO は 11 月 3 日、Linux カーネルの脆弱性 CVE-2026-98432 を直したカーネルを、運営する Cardano のノードすべてに入れて再起動しました。修正版は Ubuntu がまだ試験段階で公開したものですが、ネット越しに突かれうる深刻度 9.8 の脆弱性であることから、正式配布を待たずに入れる判断をしました。
Ubuntu ブログ「Fixes available in -proposed pocket for CVE-2026-98432」（11月2日）（Ubuntu）
この脆弱性については、11 月 1 日の記事で Intersect の呼びかけをお伝えしました。修正が済むまで SIPO 自身の対応はお知らせしていませんでしたが、すべてのノードの更新を終えたので、SPO として何をしたかをまとめます。
前回の記事: Intersect、SPO に Linux カーネル脆弱性への備えを要請
修正が済むまで、対応を公表しなかった理由
CVE-2026-98432 は、TCP の接続を受け付ける途中で、解放済みのメモリを読みにいってしまう不具合です。CVE 記録は、認証なしにネット越しに突けるとして、深刻度を 10 点満点の 9.8 としています。Cardano のノードは外からの接続を受け付けるのが仕事なので、まさに影響を受ける側に立ちます。
SIPO は 10 月 30 日、Intersect が週報 #135 で SPO に備えを呼びかけたのと同じ日に、修正版が出るまでのあいだノードを守る応急の対策を入れました。対策の中身は、修正が済んだ今もお伝えしません。守りの方法が知られると、それをかわす手を考える材料になるためです。
同じ理由で、修正が済むまでは SIPO のノードの状態も記事にしませんでした。リレーの接続先はチェーンに登録されていて、誰でも調べられます。SPO が「まだ直っていない」と書けば、攻撃する側に狙う先を教えることになります。
試験段階の修正版を入れた理由
Ubuntu は 11 月 2 日のブログで、22.04・24.04・26.04 の各 LTS 向けの修正版カーネルを、正式配布の前の試験用の配布場所（-proposed）に置いたと発表しました。正式配布は、2,000 台を超える認定済みの機器での試験が終わり次第としていて、日付は示していません。Ubuntu の CVE のページは、11 月 3 日の時点でも各 LTS を「対応中」と表示しています。
同じブログで Ubuntu は、自分でカーネルの受け入れ試験をする利用者は -proposed の修正を入れる選択もできる、と書いています。正式配布の日が見えない以上、応急の対策だけでつなぐより修正そのものを入れるほうが安全だと SIPO は判断しました。そのうえで、試験段階の版であることを踏まえて、次の段取りを取りました。
- 入れる前に、更新される中身を試しに引き、カーネル以外のパッケージが混ざらないこと、何も削除されないことを確かめる
- カーネルを入れ終えたら、試験用の配布場所を取得元から外す。ほかのパッケージが試験段階の版に変わらないようにするためです
- 前のカーネルは消さずに残し、問題が出たら起動のときに戻せるようにしておく
ブロック生成を止めない順番
カーネルの更新は、再起動して初めて効きます。ノードを止めている数分のあいだにブロックを作る番が来ると、そのブロックは作り損ねになります。そこで、次の順番で 1 台ずつ進めました。
- 先にリレーを 1 台ずつ更新し、再起動のあとは、新しいブロックを取り込んでいることでチェーンの最新に追いついたと確かめる
- ブロック生成ノードは最後に回し、次にブロックを作る予定の時刻を確かめてから再起動する。予定が近いノードは、そのブロックを作り終えたのを確かめてから再起動する
- 止めるときは、ノードに付いている周りのサービスを先に止め、ノード本体を正しく停止させてから再起動する。止め方を省くと、次の起動でデータの読み直しに時間がかかることがあります
どのノードも、再起動から数分でチェーンの最新に追いつきました。
ほかの SPO の方へ
Ubuntu でノードを動かしている場合は、次の 2 点で状態を確かめられます。
- いま動いているカーネルの版は
uname -rで見られます。Ubuntu のブログによると、修正版は 24.04 LTS が 6.8.0-149.149、22.04 LTS が 5.15.0-203.213、26.04 LTS が 7.0.0-43.43 です - 修正版を入れても、再起動するまでは古いカーネルのまま動いています。入れただけで終わりにしないことが大切です
試験段階の版を入れるか、正式配布を待つかは、運営の考え方で分かれます。待つ場合も、Ubuntu の CVE-2026-98432 のページで、自分の LTS の欄が「対応中」から修正済みに変わる日を追っておくと、更新に入る合図を逃しません。SIPO も、正式配布に切り替わった時点で、入れた版と正式版が同じであることを確かめます。
ことば
- -proposed — Ubuntu が正式配布の前に、更新を試験のために置いておく配布場所。ふだんの更新では選ばれず、利用者が明示したときだけ入ります。
- CVE — 公表された脆弱性に振られる世界共通の番号。今回の CVE-2026-98432 は、Linux カーネル自身の採番機関が 10 月 15 日に登録しました。
- リレーとブロック生成ノード — ブロック生成ノードはブロックを作るノード、リレーはそれと外の世界をつなぐノード。外からの接続を直接受けるのはリレーです。
一次ソース / 関連リンク
CVE 記録 CVE-2026-98432（cve.org）
Intersect Weekly Update #135（10月30日）
intersectmbo.org
