Linuxカーネルlibiscsiに脆弱性CVE-2026-99154——修正版へ更新を

Linux 脆弱性CVE-2026-99154の概要――何が起きているか

2026年10月28日、LinuxカーネルのlibiscsiサブシステムにCVSS 9.8の脆弱性CVE-2026-99154が公開された（最終更新：2026年10月31日、採番元CNA：Linux）。CVE公式記録（cve.org）によれば、CVSS 3.1スコアは9.8（CRITICAL）である（評価者：Linux）。

脆弱性が存在するのは、LinuxカーネルのiSCSIプロトコル実装を担うlibiscsiライブラリの、PDU（Protocol Data Unit）からタスクインデックスを取り出す処理だ。この欠陥を放置すれば、外部から操作された負のインデックス値によってカーネルメモリの想定外の領域が読み取られる可能性がある。

同じlibiscsiに潜むもう一つの欠陥は、libiscsiのCVE-2026-99153で説明しています。

関連記事Linuxカーネルmlx5eにCVE-2026-99079——CVSS9.8、修正版へ更新を

CVE-2026-99154の技術的な仕組み――なぜ負のインデックスが危険か

libiscsiでは、transportがPDUを受け取ったときparse_pdu_ittを実装してインデックスをlibiscsiに渡す。渡されたインデックスiは2か所のルックアップで使われるが、いずれも上限チェック（if (i >= session->cmds_max)）しか行われていない。

iとcmds_maxは共にint型であるため、負の値はこのチェックをすり抜ける。負のインデックスが通過すると、session->cmds[i]によって配列の先頭より前のメモリ領域（範囲外）が参照される。

be2iscsiドライバが具体的な問題の発生源となっている。beiscsi_parse_pdu()はrawなITT値をそのままインデックスに代入する（*index = (int)itt;）。さらにbeiscsi_complete_pdu()は、ハードウェアの非同期リングから来た非送信請求のNOP-InをITTを置き換えずに転送するため、インデックス値はターゲット側（iSCSIストレージ側）の値になる。加えて、beiscsi_complete_pdu()はセッション自身の年代（generation）を報告するため、iscsi_verify_itt()の年代比較でこのパケットを拒否する根拠がなくなる。これら複数の要因が重なり、不正な負のインデックスが最終的に配列参照まで到達する。

修正の要点は、「両方のルックアップでインデックスの下限を制限すること（Bound the index from below in both lookups）」に集約される（CVE公式記録より）。

影響を受けるLinuxカーネルバージョンと修正済みバージョン

CVE公式記録（cve.org）によれば、CVE-2026-99154の影響を受けるバージョンは2.6.33から始まる。以下の修正済みバージョン（unaffected）への更新が必要だ。

カーネルシリーズ	修正済みバージョン（これ以降はunaffected）	備考
5.10.x	5.10.273 以降	長期サポート（LTS）シリーズ
5.15.x	5.15.224 以降	長期サポート（LTS）シリーズ
6.1.x	6.1.191 以降	長期サポート（LTS）シリーズ
6.6.x	6.6.161 以降	長期サポート（LTS）シリーズ
6.12.x	6.12.115 以降	長期サポート（LTS）シリーズ
6.18.x	6.18.59 以降	安定版（stable）シリーズ
7.2.x	7.2.13 以降	安定版（stable）シリーズ
7.3 以降	修正コミット適用済み（全て対象外）	メインライン

上記のバージョン情報はCVE公式記録（cve.org）に基づく上流カーネルの値だ。Ubuntu・RHEL・Debian・SUSEなど各Linuxディストリビューションのパッケージバージョンは、各ベンダーが独自にバックポートするため、上流の番号とは一致しない。配布パッケージの版は、各ベンダーの告知の修正版で判断する。

CVSS 3.1スコア9.8の内訳は、ネットワーク越し（AV:N）・攻撃の複雑さ低（AC:L）・認証不要（PR:N/UI:N）・機密性・完全性・可用性すべてへの影響が高（C:H/I:H/A:H）という評価だ（評価者：Linux、出典：cve.org）。

なお、EPSS（悪用される確率の統計的推定）は2026年11月1日時点で0.00514（パーセンタイル約0.44）と報告されている（出典：FIRST EPSS）。EPSSは悪用される確率の統計的推定であり、確定した事実ではない。CISA KEV（既知悪用脆弱性リスト）への掲載は、本記事執筆時点（2026年11月2日）では確認されていない。

Linux 脆弱性CVE-2026-99154への対応――今やること

対応は以下の3点に絞られる。

1. 影響を受けるバージョンの確認と修正版への更新。配布パッケージの版は、各ベンダーの告知の修正版で判断する。

2. 公式の回避策について。CVE公式記録に回避策の記載はない。記録にある「両方のルックアップでインデックスの下限を制限する（Bound the index from below in both lookups）」は、カーネル側の修正の内容である。

3. 修正版が提供されていない場合はベンダー告知に従う。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE公式記録：CVE-2026-99154 ― https://www.cve.org/CVERecord?id=CVE-2026-99154
• NVD（National Vulnerability Database）：CVE-2026-99154 ― https://nvd.nist.gov/vuln/detail/CVE-2026-99154