Ubuntuは、CVSSスコア9.8の重大なLinuxカーネル脆弱性であるCVE-2026-98432に対処するための公式なカーネルパッケージをまだリリースしていません。このベンダーによるアップデートの欠如は、22.04、24.04、および26.04のLong Term Support（LTS）リリースに影響を与えます。この脆弱性は、インターネットに公開されているシステムやマルチテナントのセルフホストシステムの運用者にとって特に重要です。なぜなら、これらの環境は隔離と権限の境界を維持するためにUbuntuカーネルに依存しているためです。公式なパッチが展開されるまで、これらのシステムは、このCVEによって可能になるリモートまたはローカルの攻撃に対して潜在的にさらされた状態となります。
この脆弱性は重大ですが、Ubuntuが修正のリリースを遅らせている具体的な理由は不明です。同社は公式な説明も、アップデートの到着予定時刻（ETA）も提供していません。この遅延は他のディストリビューションとは対照的です。例えば、Hacker Newsのコメントでは、Gentooベースのシステムはすでにこの脆弱性を修正済みであることが指摘されています。ベンダー提供の修正がないため、システム管理者は、現在の標準カーネルのまま維持するか、ツリー外の緩和策を探すか、あるいはすでにパッチが含まれている他のリリースやカーネルにワークロードを移行するかを判断する負担を負うことになります。
Ubuntuからの公式なガイダンスがないため、コミュニティではさまざまな非公式な回避策について議論が行われています。Hacker Newsのあるコメントでは、潜在的な緩和策として特定のトラフィックをドロップするために`iptables`を使用することを提案していますが、このような措置は公式なベンダーの推奨ではありません。議論に参加した他の人々は、開いたポートで不要なサービスを実行するリスクを強調し、厳格なファイアウォールを維持することの重要性を強調しました。しかし、この脆弱性はカーネルレベルの問題であるため、これらの外部的な緩和策の有効性は異なり、主なリスクはディストリビューションのメンテナによる検証済みの公式な修正がないことに依然として残ります。