GMO社のホワイトハッカーが発見した19年越しのLinuxカーネル脆弱性とは

GMOサイバーセキュリティが発見した脆弱性の背景

GMOサイバーセキュリティ byイエラエのホワイトハッカー部隊、「GMOイエラエ」は2026年7月3日、Linuxカーネルに潜む脆弱性「CVE-2026-43456」の詳細を公開しました。この脆弱性は、実に19年前に取り込まれたコードに起因するもので、未修正のまま放置されていました。報告に至った背景にはGoogleのバグバウンティプログラム「kernelCTF」があり、GMOイエラエは全米で8万米ドルを超える報奨金を獲得したのです。

脆弱性の具体的な内容

発見された脆弱性は、Linuxカーネルのネットワーク機能「bonding」にかかわるもので、権限昇格攻撃の成功率は99%を超え、実行時間は1秒未満という、極めて危険性の高いものでした。この恐ろしい数字は、ホワイトハッカーの独自知見とAI技術の組み合わせによって導き出されています。このようにAIと人の互いの強みを生かすことで、新たな脆弱性を発見する道が開かれたのです。

なぜ見過ごされていたのか

この脆弱性は、「type confusion」（型の混同）と呼ばれる非常に特異な性質を持っており、活動的に狙われなければ発現しないため、通常の利用条件では発見されにくいものでした。過去には、カーネルファジングツール「syzkaller」が偶然にクラッシュを検知したことがありますが、詳細な解析が必要だったため、実際に発見するには高度な知識と技術が不可欠でした。具体的には、AIを用いた詳細な解析とホワイトハッカーの直感による判断が決定的でした。

技術的な特徴

- 脆弱性の種類: type confusion（型の混同）
- 該当サブシステム: net/bonding
- 影響範囲: Linux 2.6.24から6.12.77まで
- 権限昇格の成功率: 99%以上（実行時間1秒未満）

今後の対応策

この脆弱性は、2026年3月に修正されたため、主要なLinuxディストリビューションの最新バージョンでの更新が推奨されます。しかし、修正が難しい環境では、「bonding」機能を無効にするか、非特権ユーザーによるネットワーク名前空間作成を制限することで、脆弱性の影響を回避できます。詳細情報は当社のブログを通じて提供されているため、ぜひご確認ください。

脆弱性発見者のコメント

上席執行役員であるCTOの小池悠生氏は、「本脆弱性が修正されて公表できたことに安堵する」との感想を述べ、ホワイトハッカーたちの知見とAIの協力による発見の重要性を強調しました。また、近年のLinuxカーネルに対する様々な脆弱性が確認されており、それらに対処するための努力が必要であると指摘しています。特に、改めてGoogle社の取り組みに敬意を表した上で、今後もホワイトハッカーの力で新たな脆弱性を早期に発見し、セキュリティを強化していく意志を示しています。

GMOサイバーセキュリティ byイエラエの取り組み

GMOサイバーセキュリティ byイエラエは、日本国内において最も規模が大きいホワイトハッカー集団として、Webアプリ、スマホアプリの脆弱性診断やペネトレーションテスト、フォレンジック調査など、多岐にわたるサイバーセキュリティサービスを提供しています。

ついに登場した「AIホワイトハッカー byGMO」

このプロジェクトは、GMOのサイバーセキュリティ分野でのAI基盤を提供するもので、従来の方法に加え、最先端技術を駆使していくことにより、脆弱性の発見スピードをさらに向上させることを目指しています。今後もこのAI技術を活用して、日本のサイバーセキュリティの強化に貢献する取り組みが続くことでしょう。

詳細な情報に興味がある方は、こちらのリンクからご覧いただけます。