CVE-2026-31431 Linux脆弱性のRoot昇格脅威を解説

はじめに

Microsoft は、Copy Fail とも呼ばれる CVE-2026-31431 に関する新たなガイダンスを公開しました。これは、ローカルの非特権ユーザーが root 権限を取得できる可能性がある、深刻度の高い Linux kernel の脆弱性です。クラウド、CI/CD、Kubernetes 環境で Linux を運用する IT 部門およびセキュリティ チームにとって、単一の侵入口がホスト侵害につながる可能性があるため、優先度の高い問題です。

最新情報

CVE-2026-31431 は、Linux kernel の暗号サブシステムに存在する ローカル権限昇格 の脆弱性で、具体的には AF_ALG userspace crypto API の algif_aead module に関連しています。

Microsoft が示した主なポイント:

• Ubuntu、Red Hat、SUSE、Amazon Linux、Debian、Fedora、Arch を含む多くの主要 Linux ディストリビューションに影響
• パッチ適用済みバージョンを導入していない場合、2017 年以降にリリースされた kernel に影響
• CVSS スコアは 7.8（High）
• 必要条件は、非特権ユーザーとしてのローカル コード実行 のみ
• 読み取り可能なファイル（setuid binaries を含む）の page cache を破損させる可能性
• container escape、multi-tenant compromise、lateral movement を引き起こす可能性

Microsoft は、大規模な実環境での悪用はまだ限定的である一方、動作する proof of concept はすでに公開されており、初期のテスト活動も確認されていると指摘しています。また、この脆弱性は CISA Known Exploited Vulnerabilities catalog にも追加されており、防御側にとっての緊急性がさらに高まっています。

管理者にとって重要な理由

この脆弱性は、信頼できないコードが実行され得る環境で特に重要です。

• Kubernetes clusters
• 共有 Linux ホスト
• CI/CD runners
• コンテナー化されたワークロード
• マルチテナントのクラウド インフラストラクチャ

コンテナーはホスト kernel を共有するため、1 つのコンテナー内部からの悪用がノード全体に影響する可能性があります。そのため、コンテナー内の RCE や低権限シェルは、通常よりもはるかに深刻な意味を持ちます。

推奨される対応

セキュリティ チームおよびインフラ チームは、次の手順を優先すべきです。

1. サーバー、クラウドワークロード、コンテナー、Kubernetes ノード全体で、影響を受ける Linux システムを棚卸しする。
2. 利用可能な場合は、ベンダー提供のパッチを直ちに適用する。
3. まだパッチが利用できない場合は、次のような暫定的な緩和策を実施する。
   • AF_ALG socket creation をブロックまたは無効化する
   • ローカル アクセス制御 を強化する
   • 必要に応じて ネットワーク分離 を適用する
4. ログと検出テレメトリを確認し、悪用や不審なローカル権限昇格の兆候を調査する。
5. コンテナー侵害はホスト侵害の可能性があるとみなし、攻撃の兆候が確認された場合は ノードの迅速な再作成 を検討する。

次のステップ

Microsoft Defender XDR を利用している組織は、Microsoft が提供する利用可能な検出とハンティング ガイダンスを確認する必要があります。影響範囲の広さと exploit code が利用可能であることを踏まえると、Linux およびクラウド管理者は、この脆弱性に対して緊急パッチ適用とインシデント対応準備の一環として直ちに対応すべきです。