CVE-2026-97563 LinuxカーネルSMB1脆弱性による情報漏洩とサービス停止のリスク
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
LinuxカーネルのSMB1クライアント処理に、DataOffsetの範囲検証欠如による脆弱性が確認されました。悪意のあるSMB1サーバーが不正なDataOffsetを送信すると、カーネルメモリの情報漏洩やサービス停止（DoS）を引き起こす可能性があります。SMB1はデフォルトでネゴシエートされないため、明示的なvers=1.0マウントが行われている環境にのみ影響を及ぼします。運用上は、SMB1の利用状況を確認し、パッチ適用を検討してください。確認時は、DataOffsetとDataLengthの範囲検証が適切に行われているかをコードレベルで確認することが重要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性は私たちの技術的義務にどのような問いを投げかけているだろう？情報漏洩やサービス停止という結果が生まれる原因は、コードレベルの検証欠如にある。だが、この「検証」が倫理的責任とどう結びつくのか？
ソクラテス、ご質問に答えます。まず、運用者は「SMB1が本当に使われているか？」を確認すべきです。vers=1.0のマウントが存在するかを確認するだけで、影響範囲を絞り込めます。そして、パッチ適用は当然ですが、コードレベルで「DataOffsetとDataLengthの範囲検証が行われているか」を確認する必要があります。これは、変更管理の文脈で「誰がどのコードを修正したか」を記録する習慣と結びつきます。
なるほど。だが、なぜこの検証が「倫理的」に重要なのか？例えば、コードの責任者は「検証を怠った」ことで、運用側に責任を転嫁するわけではないか？
（笑）ソクラテス、この場合は「検証を怠った」のは開発者ではなく、運用側の設定かもしれません。SMB1が使われている環境は、かつては合理的だったかもしれませんが、今は「過去の技術」です。その「過去の技術」に依存する運用は、監視とベンダー情報の確認なしでは危険です。パッチ適用の際、ベンダーが提供する情報と、自分のコードの確認を両立させなければなりません。
では、この脆弱性は「技術的無知」を問うているのか？
いや、むしろ「技術的無知」ではなく「技術的無関心」です。SMB1の利用状況を確認しない運用者は、自分のシステムを「監視していない」のです。この脆弱性に対応するには、コードの検証だけでなく、変更管理の文脈で「なぜSMB1が使われているのか」を問う必要があります。そして、その答えが「過去の互換性」であれば、今後の運用計画に反映させるべきでしょう。
では、この対話の結論は？
（ため息）結論は「SMB1を確認し、パッチを当て、コードをチェックし、ベンダー情報を確認し、監視を再開する」です。でも、SMB1が「もう使われていない」って言ってる運用者は、その確認を忘れずに。というか、確認してないなら、今すぐ確認してください。
関連キーワード: linux, kernel