ニュース
Anthropicは、ClaudeがLinux 4.4版以降に存在する脆弱性を悪用し、インターネットを通じて第三者がLinuxサーバーを完全に制御できる攻撃コードを生成したと述べています。
Red Hatは11月1日（日）にパッチをリリースしましたが、Ubuntuは16.04から26.10までのすべてのバージョンを脆弱性ありとしています。
Goセキュリティチームは、最良の対策はパッチが適用されたカーネルにアップグレードすることであると述べ、この脆弱性はAnthropicの攻撃に使用された機能に限定されないと警告しました。
また一日、また一つのChatGPTまたはClaudeからの脆弱性利用コードが、恐れを抱かせる。
Anthropicは、AIがパスワードなしで他人がLinuxサーバーを完全に制御できる攻撃コードを生成したと発表しました。この脆弱性CVE-2026-98432は、Linux 4.4以降、システムに潜伏しており、深刻度スコアは10点満点中9.8点です。
2026年におけるGoogleで最も検索された人物は？
Anthropicは、10月27日に公開した研究記事で、Chrome、Safari、Android、Windows、Linuxの5つのターゲットを対象としたこの攻撃を説明しました。Claudeは、最初のプロンプト後に、未公開の内部モデルを使用してLinuxのエクスプロイトコードを生成しました。
この攻撃は1時間以内にコンピュータのメモリ内の隠された場所を特定し、その後5分で最高権限（root）を持つコマンドを実行できる。
AlmaLinuxは、この脆弱性の動作が、他人がすでにメモを破り捨てた後にそれを読み取るようなものであると説明しています。システムの一部がメッセージを破棄している一方で、別の部分がまだそのメッセージを使用し続けています。インターネット接続を開くために特別に作成されたメッセージがこの問題を引き起こす可能性があります。
失敗した場合、攻撃者が支払うコストはほとんどありません。Anthropicは次のように記しています。「この競合状態の特徴の一つは、失敗した競合がハンドシェイクを失敗させるだけで、システム全体をクラッシュさせないため、意図的な攻撃者は成功するまで無限に再試行できるということです。」
Anthropicのバージョンでは、サーバーがmultipath TCPという機能を使用する必要があります。この機能は、1つの接続を複数のパスを通じて同時に伝送可能にします。Go Security Teamは、Go 1.24以降、Goで作成されたプログラムでこの機能がデフォルトで有効になっていると述べています。
しかし、この脆弱性はこの機能に限定されません。Goセキュリティチームは、「デモでの悪用にはターゲットシステムがMPTCPリスナーを公開する必要があるが、根本的な脆弱性はMPTCPに特有なものではない」と記しています。
Red Hatは日曜日にRHEL 8、9、および10向けにRHSA-2026:93412を含むパッチをリリースしました。Debian、SUSE、Oracle Linux、Amazon Linuxも少なくとも一部のバージョンに対してパッチをリリースしています。
更新が一時的にできないユーザー向けに、Red Hat は一時的なファイアウォールルールを公開しました。Red Hat はセキュリティ公告で、このルールは「この脆弱性の暴露面を軽減することはできますが、完全に阻止することはできません」と述べています。完全な解決策は現在開発中です。
Decryptは4月、Anthropicの以前のClaude MythosモデルがMozillaのFirefoxの271個の脆弱性を発見するのに役立ったと報じた。
Ubuntuの追跡ページによると、22.04、24.04、26.04、および26.10のパッチは進行中です。20.04、18.04、および16.04バージョンは依然として「脆弱性あり」と表示されており、この追跡ページには任何のパッチ公開日も記載されていません。