CVE-2026-90095 Linuxカーネル FUSE デッドロック修正
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
LinuxカーネルのFUSEモジュールに、io-uring操作に関連するデッドロックの可能性を引き起こす脆弱性が修正されています。FUSE_INIT応答にFUSE_OVER_IO_URINGフラグが設定されていない場合、io-uringコマンドの処理中にロック競合が発生し、システム全体の応答遅延や処理停止のリスクがあります。特にFUSEベースのファイルシステム（例：libfuseやfractal-fuse）を活用する環境や、QEMUのio-uring関連パッチが適用されていない場合は注意が必要です。確認時には、FUSEサーバーがFUSE_INIT応答でフラグを正しく設定しているかを確認し、カーネルの更新状況を確認することが重要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について考えてみよう。FUSEモジュールのio-uring操作がシステム全体の応答遅延を引き起こすという点だが、このリスクを回避するためには何を確認すべきだろう？
ああ、まずはFUSEサーバーがFUSE_INIT応答でFUSE_OVER_IO_URINGフラグを正しく設定しているかを確認する必要があります。それと、カーネルの更新状況を把握し、パッチが適用されているかを確認するのが重要です。特に、QEMUのio-uring関連パッチが未適用の環境では注意が必要です。
なるほど。では、このフラグの設定が不正確だとどうなるのか？システムが止まるリスクがあると聞いているが、運用者はどのようにして影響を調査すべきだろう？
影響調査としては、FUSEベースのファイルシステム（例：libfuseやfractal-fuse）を動作させる環境で、io-uringコマンドが正常に処理されているかをテストする必要があります。また、変更管理の観点から、パッチ適用後のシステム挙動を監視し、異常がないかを確認することも不可欠です。
その上で、ベンダー情報の確認はなぜ重要なのか？
ベンダーが提供するFUSEサーバーの実装がFUSE_OVER_IO_URINGフラグを正しく扱っているかを確認しないと、パッチが適用されていても脆弱性が残る可能性があります。特に、libfuseやfractal-fuse以外の実装が使われている場合、その動作をよく理解しておく必要があります。
最後に、この脆弱性への対応を一言でまとめると？
「確認、確認、確認」です。フラグの設定、カーネルの更新、ベンダーの実装状況を確認し、それらを変更管理と監視に組み込むことが肝要です。QEMUのパッチが未適用なら、ちょっとしたユーモアで「まだ待ってね」と言っておきましょう。
関連キーワード: linux, kernel, qemu