Bitcoin Lightningノードには、深刻なLinuxカーネル脆弱性のためMPTCPの無効化が促されている

Lightning Labsは10月30日、lnd v0.21.6-betaおよびバックポート版v0.20.7-betaを緊急リリースしました。両バージョンでは、デフォルトでMultipath TCP（MPTCP）リスナーを無効化し、LNDを通じてリモートでrootアクセスを取得する手法をブロックします。この根本的な脆弱性、CVE-2026-98432は、LinuxカーネルのIPv4 TCPハンドシェイク処理に影響を与え、CVSSスコアは9.8です。

Bitcoin CoreおよびLightningの開発者であるMatt Coralloは、10月30日にこの脆弱性に注目を向けました。CoralloはUbuntuの対応の遅さを批判し、このバグを「これまでで最も重要なLinux脆弱性」と表現しました。その後、AnthropicのFrontier Red Teamは、MPTCPリスナーが公開されているシステムに対してリモートでのroot権限取得のエクスプロイトを実証しました。

ピーター・トッドは10月30日、Linux上でポートを開いた状態でLNDを実行している運用者は、カーネルパッチまたは対策が適用されるまでBitcoin Lightningノードをシャットダウンするよう警告しました。この攻撃はMPTCPリスナーを必要とし、Goバージョン1.24以降ではデフォルトで有効化されています。したがって、Goで記述された最近のLNDバージョンは、カーネルがこの機能をサポートしている場合、ピア、gRPC、およびRESTポートにMPTCPリスナーを使用していました。

Lightning Labsは、これらのリリースを完全な修正ではなく、軽減策と位置づけました。Lightning Labsは、根本的な脆弱性を完全に解決するにはパッチ適用済みのカーネルが必要であると述べています。MPTCPをホスト全体で無効にするか、カーネルに更新が適用されるまで、そのマシン上で動作する他のサービスは引き続き脆弱な状態です。Olaoluwa OsuntokunおよびLightning Labsは両方とも、LNDの更新をインストールすることを推奨しています。

セキュリティ研究者のマーカス・ハッチンスは、攻撃者が脆弱なシステムを探索していることを示すインターネット全体のスキャンを後に報告した。ハッチンスは、ポート443を通じてMPTCPでアクセス可能なサーバー約210万台を発見した。国際サイバーダイジェストは11月4日にこの発見を公表し、スキャン活動およびUbuntuのパッチ適用スケジュールの遅れを強調した。

Canonicalは、Ubuntu 22.04、24.04、26.04向けにオプトインの提案パケットを通じて修正カーネルを提供しました。ただし、修正カーネルはUbuntuの通常の更新チャンネルには到達していません。Red Hatは11月1日にRHEL 8/9/10向けにパッチをリリースしました。Debian、Amazon Linuxその他のディストリビューションは、それより前にパッチを公開しています。

UmbrelOS 2.0.1は、11月1日にx86デバイス用のカーネルパッチを提供しました。UmbrelOSは、パッチ済みカーネルがまだ利用可能ではなかったため、Raspberry Piデバイスにトラフィックブロッキングの緩和策を適用しました。現在のところ、実際の攻撃は確認されていません。CISAは、この脆弱性を既知の悪用脆弱性カタログに掲載していません。Anthropicは、リモートrootのデモンストレーションを公開していません。

インターネットからアクセス可能なサーバーは、最も実質的なリスクにさらされています。一般的なNATとファイアウォールで保護され、パブリックTCPリスナーを持たない家庭用デスクトップは、はるかに影響を受けにくいです。LNDのリリースにより、Linux Lightning運用者に対するMPTCPリスナー経路は排除されましたが、運用者がパッチ済みカーネルをインストールするまで、より広範な脆弱性は残っています。