Linux脆弱性CVE-2026-99046――gveドライバのXSKバッファリークと対応手順

CVE-2026-99046 の概要：gveドライバで何が起きているか

2026年10月23日、Linuxカーネルの公式CVEレコード（採番元CNA：Linux）としてCVE-2026-99046が公開された（最終更新2026年10月24日）。対象はLinuxカーネルのgve（Google Virtual Ethernet）ドライバであり、CVSS 3.1スコアは7.5（HIGH）と評価されている（評価者：Linux、ベクター：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H）。

技術的な問題の核心は、RX完了ディスクリプタにエラービットが立った場合の処理パスにある。buf_stateとそれに付随するバッファは本来解放されなければならない。しかしAF_XDP ZC（ゼロコピー）パスにおいてXSKバッファが解放されず、メモリリークが発生していた。CVSSベクターの可用性（A）が「H」である点は、継続的なリークによってシステムリソースが枯渇するシナリオを念頭に置いた評価を反映している。なお、CVSSベクターから機密性（C）・完全性（I）への直接的な影響は読み取れない。

注目すべきは、この問題の発見者がLLM（大規模言語モデル）であることがCVEレコードに明記されている点だ。AIがLinuxカーネルのドライバコードを解析してバグを特定した事例として、セキュリティコミュニティから関心を集めている（出典：cve.org — CVE-2026-99046）。

現時点でCISA KEV（既知の悪用脆弱性カタログ）への掲載はなく、悪用の報告もない。EPSS（悪用確率の統計的推定）は0.527%（パーセンタイル44.6%、2026年10月29日時点）であり、直近の積極的な悪用は観測されていない。ただしEPSSは確率の推定にすぎず、「悪用されない」と断定できるものではない。

AIが発見した同じ系統のカーネル脆弱性は、LinuxカーネルCVE-2026-98432で解説しています。

関連記事VOICEVOX 使い方｜インストールから音声生成まで【2026】

Linux脆弱性CVE-2026-99046の影響バージョンと修正済みバージョン

CVEレコード（出典：cve.org — CVE-2026-99046）が明示する対象範囲は以下のとおりだ。

カーネルバージョン	状態	備考
6.17	影響あり	CVEレコードで “affected” と明記
6.17未満（〜6.16系以下）	影響なし	CVEレコードで “unaffected”（semver 0〜6.17未満）
6.18.57以降（6.18系）	unaffected	6.18.57〜6.18.* は unaffected（CVEレコード上の表記）
7.2.11以降（7.2系）	unaffected	7.2.11〜7.2.* は unaffected（CVEレコード上の表記）
7.3以降	unaffected	original_commit_for_fix として記録

※ 上記はLinux上流（本家）のカーネルバージョンに基づく。配布パッケージを利用している場合は、上流バージョン番号と配布パッケージのバージョンを直接比較せず、各ベンダーの公式セキュリティアドバイザリを参照すること。ディストリビューションの修正状況は事実シートで確認できていない。

このバージョン分布が示すのは、6.17系をそのまま運用している環境が直接の対象であるという事実だ。gveドライバを利用し、AF_XDP ZCによる処理を実装している環境では、該当バージョンの確認が必要となる。

LLMが発見した脆弱性という事実が日本企業に問いかけること

今回のCVE-2026-99046において際立っているのは、CVEレコードに「この問題はLLMによって発見された」と明記されている点だ（出典：cve.org）。これは単なる技術的トリビアではない。ソフトウェアセキュリティの発見プロセスが構造的に変化しつつあることを示唆している。

gveドライバのようにパス分岐が複数あるコードでは、特定の条件下（今回はAF_XDP ZCパスのエラー処理）でのみ顕在化するバグは、通常の回帰テストや人間のコードレビューだけでは発見が困難なことが多い。LLMがこの種の「条件分岐における解放漏れ」を指摘できた事実は、今後のカーネル脆弱性発見プロセスに変化をもたらす可能性を示している。

日本企業の運用現場にとってこの流れが意味するのは、LLM主導の脆弱性発見が今後も増加する可能性があるという点だ。パッチのリリースサイクルが速まる可能性があり、脆弱性管理プロセスの追従速度を見直す必要が生じうる。CVSSスコア7.5（HIGH）の案件がAI主導で次々と発見・公開されるシナリオでは、対応優先度の付け方やパッチ適用SLAの基準自体を再整備することが検討に値する。

一方、現時点のリスク水準については冷静に評価する必要がある。本脆弱性はCISA KEVに掲載されておらず、悪用の報告もない。EPSS値も低水準にとどまっている（2026年10月29日時点）。CVSSベクターが示す影響は可用性（メモリリーク）であり、機密情報の漏洩や権限昇格への直接的な経路はCVSSベクターからは読み取れない。ただしCVSSとEPSSはいずれも特定時点のスナップショットであり、将来の状況変化を排除するものではない点に留意が必要だ。

Linux脆弱性CVE-2026-99046への実務的な対応手順

KEV未掲載・悪用報告なしという現状であっても、CVSS 7.5（HIGH）の脆弱性を無期限に放置する合理的な理由はない。以下の段階で対応の優先順位を付けることが現実的だ。

第一段階：影響環境の特定

管理下にあるLinux環境のうち、カーネルバージョンが6.17系であり、かつgveドライバを使用しているシステムを洗い出す。特にAF_XDP ZCを有効化した処理の実装を持つシステムが確認対象となる。配布パッケージを利用している場合は、上流バージョンとの直接比較ではなく、各ベンダーの公式セキュリティアドバイザリを参照して修正パッケージの有無を確認する。

第二段階：外部公開システムの優先対応

インターネットに公開している、またはクラウド環境で外部トラフィックを受けるシステムを優先リストの上位に置く。CVSSベクターの可用性スコアが「H」であることから、継続的なトラフィック処理でリークが蓄積すると可用性への影響が顕在化しやすい環境から対処するのが合理的だ。

第三段階：修正版への更新またはベンダー告知の追跡

上流カーネルでは6.18.57以降・7.2.11以降・7.3以降がunaffected（影響なし）とCVEレコードに記録されている（出典：NVD — CVE-2026-99046）。配布パッケージを利用している場合は各ベンダーの公式パッチ告知を待ち、その告知に従って更新する。CVEレコードには公式の回避策の記載がないため、パッチ適用以外の公式な緩和策は現時点では確認できていない。

第四段階：脆弱性管理プロセスの点検

LLM発見のCVEがLinuxカーネルに対して継続的に公開される可能性を見越し、CVSS HIGH案件に対するパッチ適用SLAと、クラウド基盤のgveドライバ固有の監視項目をセキュリティ運用手順書に明記することが望ましい。

---

参考文献

• CVE Record: CVE-2026-99046 — https://www.cve.org/CVERecord?id=CVE-2026-99046
• NVD: CVE-2026-99046 — https://nvd.nist.gov/vuln/detail/CVE-2026-99046