Linuxカーネルのネットワーク処理に、重大な脆弱性（CVE-2026-99999、通称「PwnEscape」）が見つかりました。仮想化環境では、仮想マシンの外側にあるホストのシステムにまで影響するおそれがあると報告されています。さくらインターネットは2026年10月16日に自社サービスへの影響を調べていると発表し、調査と対応のため、さくらのレンタルサーバとさくらのマネージドサーバの新規申し込みを一時停止しています。いま契約しているサーバーはこれまでどおり動いています。共用のレンタルサーバーはサーバー会社が対応しますが、VPSや専用サーバーのようにOSを自分で管理している場合は、自分でカーネルを更新する必要があります。
この記事の要点
- Linuxカーネルのネットワーク処理に、CVSS v3.1で9.3（緊急）の脆弱性CVE-2026-99999が見つかりました。仮想マシンの中から細工した通信を送ることで、ホストに影響が及ぶおそれがあります。
- さくらインターネットは10月16日、クラウド、VPS、レンタルサーバなどへの影響を調べていると発表しました。レンタルサーバとマネージドサーバは新規申し込みを止めており、再開時期は未定です。契約中のプランは通常どおり動いています。
- 10月20日の追記では、さくらのクラウドが新規プロジェクトの作成を再開したことなどが加わりました。さくらのVPSは新規申し込みなどの停止が続いています。
- 共用レンタルサーバーの利用者は、サーバー会社のお知らせを確認しておきましょう。VPSや専用サーバーなどOSを自分で管理している人は、OSの配布元の情報を確かめ、修正したカーネルに更新してください。
何が起きたか
| 項目 | 内容 |
|---|---|
| 脆弱性 | CVE-2026-99999（通称「PwnEscape」）。Linuxカーネルのネットワーク処理（IPv4）で、通信に付いているチェックサムの情報を確かめないまま処理を進めてしまう不具合 |
| 深刻度 | CVSS v3.1で9.3（Critical＝緊急）。CVEの記録を登録したLinuxカーネルの担当チームによる評価 |
| CVEの公開 | 2026年10月15日（日本時間21時19分） |
| 影響するバージョン | Linux 2.6.27以降 |
| 修正したバージョン | 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.57、7.2.11、7.3（Linux本体の各系列） |
| 想定される被害 | 仮想マシンの中から細工した通信を送ると、ホストのメモリの中身が漏れる、ホストが止まる、ホストで管理者の権限でコマンドを実行される、ことが確かめられたとされる |
CVEの記録によると、細工したチェックサムの情報を持つ通信がIPv4の処理に入ると、カーネルが一度確かめたはずの通信のヘッダーを書き換えてしまい、その後の処理が誤った長さを信じて動いてしまいます。記録に載っている攻撃の想定は、クラウドなどで動く仮想マシンの利用者が、割り当てられた仮想のネットワークを通じて細工した通信を送るというものです。インターネットから届く通信を受け取る経路ではないと説明されていますが、ホストの管理者の操作がなくても攻撃が成り立ち、ホスト上のすべての仮想マシンを巻き込んで止めることもできたとされています。
米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）がCVEの記録に付けた評価では、10月16日時点で悪用は確認されていない（Exploitation: none）とされています。
さくらインターネットの発表
さくらインターネットは10月16日、「【重要】Linuxカーネルの脆弱性（CVE-2026-99999）に関する当社サービスへの影響について」を掲載しました。この脆弱性は仮想化環境でホストシステムへの影響につながる可能性があると報告されているとし、影響があるかどうかと、影響の範囲を確かめているとしています。調査と対応の対象は、さくらのクラウド、さくらのVPS、さくらのレンタルサーバ、高火力 DOK、高火力 VRTの5つです。
10月16日に掲載された内容
| サービス | 状況 |
|---|---|
| さくらのレンタルサーバ・マネージドサーバ | 10月16日（金）から新規申し込みを一時停止。対象はレンタルサーバ（ライト・スタンダード・ビジネス・ビジネスプロ）、メール専用プラン（メールボックス・ビジネスメール）、マネージドサーバ（スモール・ミディアム・ラージ）。再開時期は未定。契約中のプランは通常どおり稼働 |
| さくらのVPS | 10月16日（金）から、石狩・東京・大阪の全リージョンで新規申し込みを一時停止。あわせてスケールアップの受付、持ち込みISOでのインストール、さくらのクラウドへのマイグレーション機能も停止。再開時期は未定。ホストのメンテナンスを含む必要なメンテナンスを行う可能性がある。契約中のプランは通常どおり稼働 |
| さくらのクラウド | 新規プロジェクトの作成を一時停止（10月20日に再開） |
| さくらの専用サーバ PHYなど、OSを利用者が管理するサービス | OSやカーネルのバージョン、構成によっては影響を受ける可能性がある。OSベンダーやLinuxディストリビューションのセキュリティ情報を確認し、セキュリティアップデートの適用など必要な対応をするよう案内 |
10月20日の追記
さくらインターネットは10月20日19時15分に、お知らせを更新しました。内容は次の2点です。
- さくらのクラウドで、新規プロジェクトの作成を再開した。今後、この件に関するメンテナンスを順に行い、対象の利用者には実施日のおよそ1週間前までにメールで知らせる（10月19日の更新で追記）
- さくらのVPSのお知らせのタイトルと内容を一部修正したが、影響の範囲は変わっていない
お知らせは10月20日18時30分時点の情報にもとづいており、新しい情報や調査の結果に応じて更新するとしています。
ほかのレンタルサーバーの動き
ロリポップは10月19日、「セキュリティ強化のため」として緊急メンテナンスを行いました。メンテナンス中はユーザー専用ページ（12時43分〜19時18分）と新規の申し込み（14時40分〜19時37分）を止め、WebDAV接続も止めましたが、10月20日16時46分の更新で、止めていた機能はすべて再開したとしています。メンテナンス中もホームページの表示とメールの送受信はふだんどおり使えました。なお、このお知らせには、どの脆弱性への対応かは書かれていません。
影響と、読者がすぐすること
影響の受け方は、使っているサーバーの種類によって変わります。
| 使っているサーバー | すること |
|---|---|
| 共用のレンタルサーバー（さくらのレンタルサーバ、ロリポップなど） | OSやカーネルはサーバー会社が管理しているため、利用者がカーネルを更新することはできません。契約しているサーバー会社のお知らせで、影響や対応の予定、メンテナンスの日時を確認しておきましょう |
| VPS、クラウドのサーバー、専用サーバーで、OSを自分で管理している | 使っているOSの配布元（UbuntuやRed Hat、Debianなど）のセキュリティ情報を確かめ、修正したカーネルに更新してください。あわせて、サーバー会社がホスト側で行うメンテナンスのお知らせも確認しましょう |
| 自分で仮想化のホストを運用し、他人の仮想マシンを動かしている | 仮想マシンの外側のホストが影響を受ける立場です。ホストのカーネルを、修正したバージョンに更新してください |
| これから新しくサーバーを契約する | さくらのレンタルサーバ・マネージドサーバ・VPSは新規申し込みを止めています。再開時期は未定のため、各サービスのお知らせを確認してください |
Linux本体で修正が入ったバージョンは、5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.57、7.2.11、7.3です。ただし、ディストリビューションが配る修正版は番号が異なることがあるため、使っているOSの配布元の案内に従ってください。
今後の予定
さくらインターネットは、新たに利用者への対応のお願いや、サービスへの影響がわかった場合は、すぐに知らせるとしています。新しい情報が出た場合は、この記事に追記します。
出典
- さくらインターネット「【重要】Linuxカーネルの脆弱性（CVE-2026-99999）に関する当社サービスへの影響について（2026年10月20日19:15追記）」（2026年10月16日）
- さくらのサポート情報「さくらのレンタルサーバ・マネージドサーバ新規申し込み受付停止のお知らせ」（2026年10月16日）
- さくらのVPSニュース「さくらのVPSにおけるLinuxカーネルの脆弱性（CVE-2026-99999）への対応状況について」（2026年10月16日）
- さくらのクラウドニュース「【2026年10月20日更新】さくらのクラウドにおけるLinuxカーネルの脆弱性（CVE-2026-99999）への対応状況について」
- CVE.org「CVE-2026-99999」
- ロリポップ！レンタルサーバー「【完了】セキュリティ強化に関する緊急メンテナンスのお知らせ」（2026年10月19日）
