Ubuntu は、Linux カーネルの脆弱性 CVE-2026-98432 を直したカーネルを正式に配り始め、11 月 12 日朝（日本時間）には 24.04 LTS 向けの 6.8.0-149.149 がセキュリティ更新にも載りました。正式な配布を待っていた SPO にとっては、更新と再起動に入る合図です。
Ubuntu ブログ「Fixes available for CVE-2026-98432」（11月2日・11月9日更新）（Ubuntu）
SIPO は 11 月 3 日、まだ試験段階だったこの修正版をすべてのノードに入れ、正式配布に切り替わったら同じものかを確かめるとお伝えしていました。Ubuntu の配布記録を確かめたところ、正式に配られた版は、SIPO が試験段階で入れたものと同じビルドでした。
前回の記事: SIPO、カーネル脆弱性 CVE-2026-98432 の修正を全ノードに適用
試験段階から正式配布まで、中身は同じビルド
Ubuntu の配布記録（Launchpad）では、24.04 の linux 6.8.0-149.149 は次の順に配布場所を移っています（日本時間）。
- 10 月 27 日: 正式配布の前の試験用の配布場所（-proposed）に置かれる
- 11 月 6 日: ふだんの更新（-updates）に移る
- 11 月 12 日: セキュリティ更新（-security）としても配られる
3 か所の記録は、どれも同じビルドを指しています。Ubuntu は試験を終えた版を作り直さず、そのまま正式な配布場所へ写すためです。変更履歴には、この脆弱性を直す修正（ipv4: free inet_opt and ireq_opt after an RCU grace period）が入っています。
Ubuntu も 11 月 2 日のブログを 11 月 9 日に書き換え、22.04 LTS 以降は正式な配布場所で修正が手に入るので、試験用の配布場所を使う手順はもう必要ないとしました。CVE のページでは、22.04・24.04・26.04 の各 LTS が修正済みに変わり、優先度は最も高い Critical になっています。
SIPO のノードは、11 月 3 日から 6.8.0-149.149 で動き続けています。正式版と同じビルドなので、入れ直しも追加の再起動も行いません。
待っていた方は、再起動まで済ませる
修正版は、ふだんの更新で入ります。Ubuntu のブログは、すべてのパッケージを更新してから再起動する手順を勧めています。
- 更新は
sudo apt update && sudo apt upgrade、そのあとsudo reboot - 再起動のあとに
uname -rで、いま動いているカーネルが修正版か確かめる。24.04 LTS は 6.8.0-149、22.04 LTS は 5.15.0-203、26.04 LTS は 7.0.0-43 が目安です
気をつけたいのは、自動更新（unattended-upgrades）がすでに修正版を入れていても、再起動までは古いカーネルのまま動いている点です。Ubuntu の自動更新は、初期設定では再起動まではしません。/var/run/reboot-required というファイルがあれば、再起動待ちの状態です。
Cardano のノードを再起動するときは、リレーを 1 台ずつ先に進め、ブロック生成ノードは次にブロックを作る予定の時刻を避けます。SIPO が取った順番は前回の記事にまとめています。
まだ修正が届いていないカーネル
すべての Ubuntu で修正が届いたわけではありません。11 月 12 日時点の CVE のページでは、次のカーネルが修正待ちのままです。
- 24.04 LTS で新しい系統のカーネル（HWE・
uname -rが 7.0 で始まるもの）。修正予定の版は 7.0.0-43.43~24.04.1 と表示されています - 22.04 LTS の HWE カーネル（6.8 系）
- 20.04 LTS 以前。Ubuntu は、Ubuntu Pro の利用者向けに、試験が終わり次第配るとしています
11 月 2 日の案内に沿って試験用の配布場所を有効にした方は、そのまま残すことも外すこともできます。Ubuntu によると、24.04 LTS 以降では、名指ししない限り試験用の配布場所からパッケージが選ばれることはありません。外すときのコマンドは、Ubuntu のブログに載っています。
次に見るのは、Ubuntu の CVE-2026-98432 のページにある linux-hwe-7.0 の行と、20.04 LTS 以前の行です。20.04 LTS 以前については、Ubuntu は配布が済んだらブログを更新するとしています。
ことば
- -updates と -security — Ubuntu の正式な配布場所。-updates はふだんの修正、-security はセキュリティの修正を配ります。今回は試験を終えた同じ版が、両方に置かれました。
- HWE カーネル — LTS のまま新しい機器に対応するため、あとの Ubuntu から持ってきた新しい系統のカーネル。標準のカーネルとは別に修正が配られるので、確かめる欄も別になります。
- ビルド — ソースコードから作られた、実際に配られるパッケージの一回分。同じビルドなら、配布場所が違っても中身は変わりません。
一次ソース / 関連リンク
Launchpad: linux 6.8.0-149.149 の配布記録
Launchpad
Launchpad: linux 6.8.0-149.149 の変更履歴
Launchpad
