Infinity Core、エクスプロイトが公開されたLinuxカーネルの脆弱性6件

CVE-2026-98260を含む、Infinity Coreと呼ばれるLinuxカーネル（kernel）の脆弱性6件には、公開されたエクスプロイトがあります。うち5件では、一般ユーザーがrootシェルを得られます。

2026年10月19日4 分で読めます

他の言語で読む:原文（英語）Deutsch日本語Français Español Português

GitHub上のV4bel/InfinityCoreリポジトリ。READMEの上に、futex、mm、sched、signal、slab、timerのフォルダーが並んでいます。

数字で見る

kernel vulnerabilities in the Infinity Core set: 6
come with a public exploit that gives a root shell: 5
highest CVSS score, per SecurityOnline: 7.8

セキュリティ研究者のHyunwoo Kim氏は2026年10月16日、oss-securityメーリングリストでLinuxカーネルの脆弱性6件を公開しました。6件はまとめて「Infinity Core」と呼ばれています。Kim氏によると、これらは「LinuxサーバーでのLPE、コンテナエスケープ、AndroidでのLPEに悪用できる」とのことです。LPE（ローカル権限昇格）とは、一般ユーザーがrootになることを指します。動作するエクスプロイトはすでに公開されています。そのため、共有のLinuxマシンやコンテナホストを運用している人は、今すぐカーネルを更新すべきです。

Infinity Coreの6件の脆弱性

oss-securityへの投稿は、各バグについて、CVE ID、バグがあるサブシステム、修正したコミットを挙げています。バージョン番号は記載されていません。以下の修正済みカーネルのバージョンは、Kim氏の投稿ではなくSecurityOnlineによるものです。

サブシステム	CVE	バグの種類	修正バージョン（SecurityOnlineによる）
Timer	CVE-2026-98260	POSIX CPUタイマーの後処理におけるuse-after-free	6.6.158, 6.12.112, 6.18.54, 7.2.8
Signal	CVE-2026-98256	保留中のシグナルのキューにおけるuse-after-free	6.18.54, 7.2.8
メモリ	CVE-2026-89754	mincore()の裏で動くページテーブルウォーカーでの範囲外書き込み	6.18.50, 7.2.4
Futex	CVE-2026-80775	プライベートfutexハッシュの設定処理におけるuse-after-free	6.18.47, 7.1.11, 7.2.1
Scheduler	CVE-2026-98385	スケジューラーのキャッシュ集計におけるuse-after-free	7.2.9
SLAB	CVE-2026-97941	SLUBメモリアロケーターでのリスト破損	7.2.7

その多くはuse-after-free（解放後使用）のバグです。カーネルはメモリの一部を解放したのに、その後も使い続けます。攻撃者は、そのメモリを自分の選んだデータで埋め直すことができます。いくつかは競合状態（レース）にも依存します。これは、2つの処理がちょうど同じ瞬間にぶつかる状況です。たとえばタイマーとシグナルのバグは、マルチスレッドのプログラムでexec()が失敗したり競合したりしたときに発生します。exec()呼び出しは、実行中のプログラムを新しいプログラムに置き換えます。

SecurityOnlineによると、タイマーのバグはLinux 5.7までさかのぼります。そのため、古い長期サポートカーネルにも影響が及びます。同サイトの説明では、スケジューラーとSLABのバグは7.2系列だけに影響します。

どれほど深刻か

Kim氏のGitHubリポジトリとSecurityOnlineによると、6件のうち5件には、rootシェルを得られる概念実証（PoC）エクスプロイトが公開されています。6件目のSLABのバグは、今のところカーネルをクラッシュさせるだけです。リポジトリには「LPEチェーンはまだ書かれていない」とあります。

Kim氏は、カーネル7.0.0-30-genericのUbuntu 26.04と、カーネル7.2.4-arch1-2のArch Linuxでエクスプロイトをテストしました。スケジューラーのバグは、ほかのバグより条件が限られます。CONFIG_SCHED_CACHEビルドオプションと、実行時の設定の有効化が必要です。また、そのエクスプロイトは仮想CPUが4つあることを前提としています。

SecurityOnlineは、4件の深刻度をHighと評価しており、CVSSスコアの最高値は7.8です。残る2件は分析待ちです。同サイトは、実際の攻撃は確認されていないとしています。6件とも、CISAのKnown Exploited Vulnerabilitiesカタログには載っていません。これは、実際の攻撃で確認されたバグをまとめた米国のリストです。

この研究では、ネットワーク、BPF、ユーザー名前空間を必要とするバグを意図的に対象外としました。SecurityOnlineは、一般的なハードニング手段である非特権ユーザー名前空間やBPFの無効化では、これらのバグを防げないと指摘しています。

Androidスマートフォンも対象

Kim氏のリポジトリによると、タイマーのバグはAndroidでも機能します。Samsung Galaxy S26 Ultraでは、通常のアプリから「追加のアプリケーション権限なしで」root権限を得られます。Kim氏は、このAndroid向けエクスプロイトの公開を控えています。Samsungがデバイスにパッチを当てるか、他の誰かが先にエクスプロイトを公開した時点で、公開される予定です。情報源には、Samsungのセキュリティアドバイザリーやパッチの日付は見当たりません。

公開までの経緯

Kim氏は、バグをlinux-distrosに非公開で報告しました。linux-distrosは、バグが公になる前にLinuxベンダーが修正を準備するための非公開のリストです。Kim氏の公開投稿によると、これらのメンテナーと合意した公開禁止期間（エンバーゴ）は終了しています。この公開は、10月18日にLinux 7.3がリリースされる2日前のことでした。

開発者にとっての意味

ディストリビューションの最新カーネルをインストールして、再起動してください。カーネルの修正は、マシンが新しいカーネルで起動するまで効果がありません。ディストリビューションは、修正を独自のバージョン番号にバックポートすることがよくあります。そのため、上の表とバージョン番号を比べるのではなく、ベンダーのセキュリティ情報で6件のCVE IDを検索してください。

最もリスクの高いマシンから先にパッチを当ててください。コンテナエスケープが起きると、1つのコンテナ内のコードがホスト全体を乗っ取れます。そのため、Kubernetesのノード、共有のビルドサーバー、CIランナーが最優先です。中でも優先すべきなのは、見知らぬ人からのプルリクエストをビルドするランナーです。

一時しのぎとして、ユーザー名前空間やBPFの無効化に頼らないでください。Androidのテスト端末を使っている場合は、Samsungのセキュリティアップデートが出たらインストールしてください。タイマーのバグは、通常のアプリから機能するためです。

注目すべきパターンもあります。これらのバグは、タイマー、シグナル、メモリアロケーターといった、どのシステムでも動くカーネルのコア部分にあります。コンテナの分離は、この共有カーネルに依存しています。そのため、カーネルのバグは、ユーザー空間からは堅固に見える境界を越えてしまうことがあります。