【緊急】Linuxに深刻度9.8の脆弱性！RHEL 8・9・10に影響する「CVE-2026-98432」を初心者向けに解説

2026年10月30日、Red Hat（レッドハット）が、Linuxの重大な脆弱性について公式に注意喚起しました。

今回発見されたのは「CVE-2026-98432」という脆弱性です。

深刻度を示すスコアは、10点満点中9.8点。

最も危険な区分である「Critical（緊急）」に分類されています。

しかも、今回の問題は、攻撃者がパスワードを知らなくても、ネットワーク経由で悪用できる可能性があるというものです。

一体、何が起きているのでしょうか？

ITに詳しくない方でも理解できるように、仕組みから対策まで順番に解説します。

1. そもそもRHELって何？

RHELは「Red Hat Enterprise Linux」の略称です。

企業向けに提供されているLinuxというOS（オペレーティングシステム）の一種です。

OSとは、パソコンやサーバーを動かすための基本ソフトのこと。

身近な例では、Windows、macOS、Androidなどがあります。

Linuxも同じ仲間です。

ただし、RHELは個人のパソコンよりも、企業のサーバーなどでよく使用されています。

例えば、

• 企業の業務システム

• Webサイトを公開するサーバー

• データベース

• クラウドサービスの基盤

• 研究開発で使用するサーバー

などです。

つまり、普段は意識しなくても、私たちの生活や仕事を支えるシステムに使われているOSなのです。

2. 今回の脆弱性は何が危険なの？

今回発見された脆弱性の識別番号は、

CVE-2026-98432

です。

CVEとは、発見されたセキュリティ上の弱点を管理するための共通番号です。

人間でいうところの「事件番号」のようなものです。

今回の問題は、Linuxの「カーネル」と呼ばれる部分で発見されました。

カーネルとは、OSの中心部分です。

コンピューターのメモリやCPU、ネットワークなどを管理しています。

人間の体に例えると、さまざまな機能を制御する司令塔のような存在です。

その重要な部分に、外部から攻撃される可能性がある弱点が見つかったのです。

何が起きる可能性があるの？

主に次の3つです。

① サーバーが突然停止する

攻撃によってOSが正常に動かなくなり、サーバーが停止する可能性があります。

例えば、会社の業務システムにアクセスできなくなる、といった問題につながります。

② コンピューターのメモリが破損する

メモリとは、コンピューターが処理中の情報を一時的に置いておく場所です。

そのメモリを誤って操作してしまい、正常な動作ができなくなる可能性があります。

③ 不正なプログラムを実行される可能性がある

条件がそろった場合、攻撃者が遠隔から不正なプログラムを実行できる可能性も指摘されています。

これは「RCE（Remote Code Execution）」と呼ばれる攻撃です。

ただし、今回の脆弱性を悪用して確実に不正コードを実行するには、精密なタイミング調整などが必要です。

サーバー停止の危険性と、不正コード実行の可能性は、区別して理解する必要があります。

3. 小学生でも分かる！脆弱性の仕組み

今回の問題を、図書館に例えてみましょう。

図書館には、たくさんの本があります。

ある人が本を借りて読んでいるとします。

ところが、図書館の管理システムが間違えて、その本を「もう誰も使っていない」と判断してしまいました。

そして、本を回収して別の人に渡してしまいます。

最初の人は、まだその本を使おうとしています。

すると、同じ本を複数の人が同時に扱うことになり、管理が混乱してしまいます。

コンピューターでも、似たような問題が起きます。

本に相当するのが「メモリ」です。

今回の脆弱性では、ある処理がまだ使用しているメモリを、別の処理が先に解放してしまう可能性があります。

これを専門用語で、

Use-After-Free（ユース・アフター・フリー）

と呼びます。

日本語では「解放済みメモリの使用」という意味です。

今回の問題は、ネットワークの接続要求を複数の処理が同時に扱う際に発生する可能性があります。

攻撃者が通信のタイミングを調整することで、この不具合を引き起こせる場合があります。

4. パスワードがなくても攻撃できるって本当？

はい。Red Hatは、認証されていない遠隔の攻撃者でも悪用できる可能性があると説明しています。

今回の脆弱性は、IPv4というネットワーク通信の仕組みに関係しています。

IPv4とは、インターネットなどでコンピューター同士が通信するための基本的な仕組みです。

また、TCPという通信方式にも関係しています。

TCPは、Webサイトの閲覧やさまざまな業務システムで利用されています。

今回の問題では、攻撃者が特定のタイミングでTCPの接続要求を送ると、メモリの処理に不具合が発生する可能性があります。

怖いのは、攻撃の成立にサーバーへのログインが必要ない点です。

ただし、攻撃するには対象のTCPサービスへ通信が届くことなどが前提になります。

そのため、どのネットワークからアクセスできるのかが重要になります。

5. どのRHELが影響を受けるの？

2026年11月1日時点のRed Hat公式情報では、次の製品が影響対象として掲載されています。

• RHEL 8

• RHEL 9

• RHEL 10

RHELのリアルタイムカーネルや、一部のOpenShift製品なども影響対象に含まれています。

一方、RHEL 7の通常カーネルは、問題のあるコードが含まれていないため、公式情報で影響なしとされています。

なお、RHEL 7を含むすべての古いバージョンが安全という意味ではありません。

今回の脆弱性とは別に、サポート期限や他のセキュリティ問題を確認する必要があります。

6. 深刻度9.8ってどれくらい危険？

脆弱性には「CVSS」という共通の評価方法があります。

0〜10点で危険性を評価するもので、数値が大きいほど深刻とされています。

今回のスコアは9.8です。

つまり、最高水準に近い深刻度です。

Red Hatが高く評価した理由には、

• ネットワーク経由で攻撃できる可能性がある

• 攻撃にログインが必要ない

• 利用者が特別な操作をする必要がない

• システム停止やメモリ破損など、重大な影響を及ぼす可能性がある

といった点があります。

ただし、CVSSが9.8だからといって、攻撃が必ず成功するわけではありません。

また、現実にどの程度悪用されているかを表す数値でもありません。

「攻撃が成功した場合の影響が非常に大きい」と理解するのが適切です。

7. インターネットにつながっていなければ安全？

ここは誤解しやすいポイントです。

外部からの通信を遮断していれば、攻撃を受ける可能性は下がります。

しかし、社内ネットワークに置いているだけで完全に安全になるわけではありません。

例えば、次のような環境です。

• 社内の複数のパソコンからアクセスできるサーバー

• VPNで社外から接続できるサーバー

• 研究室で複数人が共用しているLinuxサーバー

• 社内の別システムからTCP通信を受け付けるサーバー

このような環境では、攻撃可能な端末がネットワーク内に存在すれば、影響を受ける可能性があります。

大切なのは、サーバーがインターネットに接続しているかどうかだけではありません。

誰が、どのネットワークから、どのサービスに接続できるのか。

この点を確認する必要があります。

8. 今すぐできる対策は？

Linuxを管理している方は、まず次の確認をおすすめします。

対策① RHELのバージョンを確認する

ターミナルで次のコマンドを実行します。

cat /etc/redhat-release

これで、使用しているRHELのバージョンを確認できます。

さらに、

uname -r

を実行すると、現在使用しているLinuxカーネルのバージョンが表示されます。

ただし、バージョン番号だけで今回の脆弱性が修正済みかどうかを判断することはできません。

Red Hatの公式情報と照合する必要があります。

対策② 不要なネットワーク接続を遮断する

サーバーへの接続を必要な端末やネットワークだけに制限します。

例えば、社内の一部の端末だけが使用するシステムであれば、関係のないネットワークから接続できないようにします。

ファイアウォールは、そのような通信制限を行う仕組みです。

ただし、通信設定を変更すると業務システムに影響する場合があるため、管理者による確認が必要です。

対策③ 公式の修正情報を確認する

2026年11月1日時点で確認したRed Hatの公式セキュリティ情報では、修正対応が進められています。

使用している製品に対する修正版が公開されたら、適用を検討する必要があります。

また、Red Hatは暫定的な通信フィルタリング対策も案内しています。

ただし、暫定対策は万能ではなく、正常な通信に影響する場合もあります。

企業の本番環境では、十分に検証してから実施することが重要です。

9. WindowsやMacも危ないの？

今回の脆弱性は、LinuxカーネルのIPv4通信処理で発見されたものです。

そのため、WindowsやmacOSが今回のCVEにそのまま該当するわけではありません。

ただし、WindowsやMacから利用しているWebサービスの裏側でLinuxサーバーが動いている可能性はあります。

そのサーバーが影響を受ければ、サービスが停止するなど、間接的な影響が発生する可能性があります。

つまり、自分のパソコンがLinuxでなくても、無関係とは限らないのです。

10. まとめ：企業のLinux管理者は早めの確認を

今回発見された「CVE-2026-98432」は、Linuxのネットワーク処理に関する重大な脆弱性です。

ポイントを振り返ると、

• 深刻度は10点満点中9.8点

• RHEL 8・9・10などが影響対象

• パスワードなしで遠隔から悪用される可能性がある

• サーバー停止やメモリ破損、不正コード実行につながるおそれがある

• 社内ネットワーク限定でも、接続可能な端末があれば注意が必要

• 通信制限や公式の修正情報の確認が重要

という内容です。

今回の問題で改めて分かるのは、OSのセキュリティ対策は、ウイルス対策ソフトを導入するだけでは十分ではないということです。

OSそのものに弱点が見つかることもあります。

そのため、システムを管理する企業や研究機関では、脆弱性情報を継続的に確認し、必要な更新や通信制限を実施することが重要です。

特にLinuxを利用している方は、今回の脆弱性について、一度は自分の環境を確認しておくことをおすすめします。

参考情報

Red Hat公式：CVE-2026-98432
https://access.redhat.com/security/cve/cve-2026-98432

Red Hat公式：セキュリティ速報 RHSB-2026-016
https://access.redhat.com/security/vulnerabilities/RHSB-2026-016

Linuxカーネル公式の脆弱性情報
https://git.kernel.org/pub/scm/linux/security/vulns.git/plain/cve/published/2026/CVE-2026-98432.mbox

※本記事は2026年11月1日時点の公開情報に基づいています。影響範囲や修正版の提供状況は更新される可能性があります。