19年間、誰にも気づかれなかった。見つけた側が確認したところ、悪用に必要な時間は1秒未満でした。
この落差が、今週大きく注目されたLinuxカーネルの脆弱性「CVE-2026-43456」の核心です。発見したのは、GMOインターネットグループ傘下のホワイトハッカー集団「GMOイエラエ」。Googleのバグバウンティプログラム「kernelCTF」に報告し、8万米ドルを超える報奨金を受け取っています。
GMOサイバーセキュリティ byイエラエ（以下、GMOイエラエ）は2026年7月3日、Linuxカーネルの権限昇格脆弱性CVE-2026-43456の技術詳細をブログで公開した。同年7月28日にはGMOインターネットグループがプレスリリースとして改めて発見の成果を公表している。
脆弱性はLinuxのネットワーク機能「bonding」に存在するtype confusion（型の混同）で、根本原因となるコードは2007年に取り込まれたもの。影響を受けるバージョンはLinux 2.6.24から6.12.77と広範囲にわたる。権限昇格の成功率は99%以上、実行時間は1秒未満。
GMOイエラエのCTO・小池悠生氏と高度解析課の戸田氏の2名が、ファジングツール「syzkaller」が偶然検知したクラッシュを起点に、AIも活用しながら解析し発見した。Googleの「kernelCTF」に報告した。
From: GMOサイバーセキュリティ byイエラエ、19年間見過ごされたLinuxカーネルの脆弱性をホワイトハッカーの知見とAIで発見
【編集部解説】
「壊れていない」から見つからなかった
19年間、誰も見つけられなかった理由はシンプルです。このバグは、普通に使っている限り何も壊れません。
bonding機能のコードには確かに欠陥がありましたが、問題が顕在化する条件が極めて限定的でした。GMOイエラエの技術ブログによれば、329個のネットワークデバイスを特定の構成でチェインし、メモリの配置を特定の状態に揃えた場合にのみ、問題が表に出てきます。その条件を踏まなければ、バグは潜んだまま、クラッシュもエラーも一切発生しません。メモリ破壊自体は起きているのですが、使われていない領域への書き込みになるため、副作用がゼロに等しかったのです。
実際、発見のきっかけも「偶然」でした。バグを自動探索するファジングツール「syzkaller」がたまたまクラッシュを検知し、その1件を徹底的に掘り下げた先に根本原因があったといいます。
AIは「根本原因の分析」を助けた
今回の発見では、AIがRCA（根本原因分析）の段階で大きく貢献しています。クラッシュした箇所から、そのクラッシュを引き起こした根本のコードまでの距離が大きく、解析に時間のかかる作業でした。Linuxカーネルというオープンソースの大規模コードベースに対して、フロンティアモデルが持つ知識が有効に機能したと、発見者の小池CTOは振り返っています。
ただし、「AIのみでこの脆弱性を突き止められたか」については、小池CTO自身が懐疑的です。発見はsyzkallerが引き当てた偶然、解析はAIとの二人三脚、悪用手法の確立はホワイトハッカーの知見——この3段構造が今回の成果の正確な姿です。GMOイエラエはこの発表の前日（7月27日）にも、こうした手法を体系化した「AIホワイトハッカー byGMO」基盤の立ち上げを発表しており、今回の成果はその代表的な成果として位置づけられています。
日本のホワイトハッカーがkernelCTFで評価された意味
Copy Fail（CVE-2026-31431）やRefluXFSなど、AIを活用したLinuxカーネルLPE脆弱性の発見が今年に入って続いていますが、今回は日本企業による成果です。国際的なバグバウンティの舞台で「高安定性・ゼロデイ・独自mitigation付き」という条件での実証成功として評価されており、国内のセキュリティ研究が世界と同じ土俵に立てていることを示す一例といえます。GMOイエラエは国内最大規模のホワイトハッカー組織として知られており、今回の成果はその技術力を改めて示すものになっています。
今すぐ取るべき対応
脆弱性は2026年3月に修正済みで、最新版へのアップデートが最も確実な対策です。すぐにアップデートできない環境では、bonding機能の無効化（rmmod bonding）か、非特権ユーザーによるネットワーク名前空間作成の制限（/proc/sys/kernel/unprivileged_userns_clone を0に設定）で影響を回避できます。後者はRootless Dockerなどに影響する場合があります。なお、発見者の小池CTOは発表コメントの中で「DirtyFlagやCopyFailといった脆弱性が発見されて世間を騒がせており」とも述べており、今回の発見がここ数か月のLinuxカーネルLPE系の流れの中にある事例であることも示唆しています。
【参考リンク】
19年以上見過ごされていたLinux kernelのゼロデイ脆弱性を報告した話：CVE-2026-43456（外部）
発見者による技術解説。根本原因・KASLR leak・権限昇格の手順を詳述。
GMOサイバーセキュリティ byイエラエ、19年間見過ごされたLinuxカーネルの脆弱性をホワイトハッカーの知見とAIで発見（外部）
GMOインターネットグループによる公式発表。脆弱性概要・対策・発見者コメントを掲載。
Google kernelCTF ルール（外部）
報奨金プログラムの条件・目的・評価基準を説明する公式ページ。
【編集部後記】
4日前に「9年潜んだ脆弱性」を報じ、今回は「19年潜んだ脆弱性」です。発見の難しさと悪用の容易さが反転するパターンが、また繰り返されました。コードに欠陥があっても「何も壊れていない」間は誰も気づけない。守る側が「見つかっていないから安全」と考えられない時代に、私たちはどこを起点に対策を組み立てればいいのでしょうか。この問いはLinuxのカーネルに限った話ではなく、あらゆるソフトウェアインフラに向けられた問いでもあります。
【用語解説】
権限昇格（LPE：Local Privilege Escalation）
一般ユーザー権限でシステムにアクセスした状態から、管理者（root）権限を取得する攻撃手法。
type confusion（型の混同）
プログラムが、あるデータを本来の型とは異なる型として扱ってしまうバグ。互換性のない構造体を誤って参照することでメモリ破壊につながる。
bonding
複数のネットワークインターフェースを1つとして束ねるLinuxの機能。今回の脆弱性が存在するサブシステム。
kernelCTF
GoogleがLinuxカーネルの堅牢性向上を目的として運営するバグバウンティイベント。権限昇格の実証に成功した研究者に報奨金が支払われる。
syzkaller
ランダムな入力をLinuxカーネルに大量に送り込み、クラッシュやバグを自動検出するファジングツール。
