Linuxカーネルlibiscsiに脆弱性CVE-2026-99153——修正版へ更新を

CVE-2026-99153とは——LinuxカーネルlibiscsiのITT検証不備

2026年10月28日、Linuxカーネルのlibiscsiコンポーネントに深刻な脆弱性CVE-2026-99153が公開された（最終更新：2026年10月31日、採番元CNA：Linux）。CVSS 3.1スコアは9.8（CRITICAL）と評価されており、ネットワーク経由で認証なしに攻撃が成立しうる構成（AV:N/AC:L/PR:N/UI:N）を持つ。

問題の核心はlibiscsiのiscsi_handle_reject()関数にある。この関数は、Reject PDUに含まれるヘッダのコピーからITT（Initiator Task Tag）を取り出し、iscsi_itt_to_task()でタスクを特定する。

しかしこのITT値はターゲット側が任意に設定できる。iscsi_itt_to_task()はインデックスがcmds_maxの範囲内かどうかしか検証しないため、プール内の任意のタスクを指し示せる。一度も使用されていないインデックスを渡すとtask->connがNULLになり、使用済みで返却済みのタスクを指定するとiscsi_complete_task()内のWARN_ON_ONCE(task->state == ISCSI_TASK_FREE)に到達し、refcountがアンダーフローする。この結果、処理中のSCSIコマンドが「成功」として完了扱いになる事例が確認された——1 MiBの読み込みがバッファに何も書き込まれないまま、戻り値1048576として返された、というのがその具体例だ。

また、iscsi_nop_out_rsp()においても任意のタスクが完了処理されてしまう点が問題として指摘されている。

関連記事Linuxカーネルmlx5eにCVE-2026-99079——CVSS9.8、修正版へ更新を ／ Linuxカーネルmlx5eにCVE-2026-99078——CVSS9.8、修正版へ更新を

CVE-2026-99153が影響するLinuxカーネルバージョン

CVE公式記録（cve.org）が示す対象バージョンと修正済みバージョンは以下のとおりだ。

カーネルシリーズ	影響を受けるバージョン	修正済みバージョン以降
2.6.32以降	影響あり（各系列の修正版より前）	下の各系列の修正版へ（2.6.32未満は対象外）
5.10.x	2.6.32以上〜5.10.273未満	5.10.273以降
5.15.x	〃	5.15.224以降
6.1.x	〃	6.1.191以降
6.6.x	〃	6.6.161以降
6.12.x	〃	6.12.115以降
6.18.x	〃	6.18.59以降
7.2.x	〃	7.2.13以降
7.3以降	対象外	修正コミット適用済み

重要な注意点が一つある。上表はLinuxカーネル開発元（upstream）の版番号を示す。Ubuntu・RHEL・Debianといったディストリビューションが配布するカーネルパッケージは独自の版番号体系を持ち、upstream版番号と直接対応しない。配布パッケージが修正済みかどうかは、各ベンダーの告知に示された修正版で判断する。upstream版番号だけで「修正済み」と判断しないこと。

Linux脆弱性CVE-2026-99153——日本企業の運用現場にとっての意味

iSCSI（Internet Small Computer System Interface）はSANストレージをIPネットワーク経由で利用するプロトコルであり、データセンターや企業の基幹ストレージ環境で広く使われている。オンプレミスのファイルサーバ、仮想化基盤のバックエンドストレージ、クラウドとのハイブリッド構成など、LinuxベースのiSCSIイニシエータが稼働している環境はめずらしくない。

CVE-2026-99153の問題は、iSCSIターゲット（ストレージ装置側）が信頼できない存在である状況で顕在化する。CVE説明によれば、Reject PDUに含まれる反射されたITTの検証が不十分であり、iscsi_itt_to_task()はインデックスがcmds_maxの範囲内かどうかしか確認しないため、プール内の任意のタスクを指定できる。

CVSS 3.1スコア9.8の内訳は、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H（評価者：Linux）である。

一方でEPSS（悪用される確率の統計的推定値、確定ではない）は2026年11月1日時点で0.55%（パーセンタイル約0.46）と推定されている。CISA KEVには掲載されていない。KEV未掲載はあくまで「把握されている悪用報告がない」ことを意味するに留まる。

CVE-2026-99153への対処——今やること3点

現時点でベンダーが公式に示している回避策はない。基本的な対処はカーネルの更新一択だ。以下の3点に整理する。

1. 使用しているカーネルバージョンを確認し、修正版への更新を実施する。影響を受けるバージョンを使用している場合は、前節の表を参考にしながら、自社ディストリビューションのベンダー告知で修正パッケージを確認して適用する。upstream版番号とディストリビューション版番号を混同しないこと。
2. 修正済みカーネルが提供されていない場合は、ベンダーの告知に従う。現時点で公式の回避策は示されていない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE-2026-99153 — CVE公式記録（cve.org）: https://www.cve.org/CVERecord?id=CVE-2026-99153
• CVE-2026-99153 — NVD（米国国立脆弱性データベース）: https://nvd.nist.gov/vuln/detail/CVE-2026-99153