さくらインターネット、Linuxカーネル重大な脆弱性「CVE-2026-99999」対応で新規申込を一時停止―クラウド・VPSなど影響調査|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月17日更新日時: 2026年10月17日

さくらインターネットは2026年10月16日、Linuxカーネルのネットワーク処理に関する脆弱性「CVE-2026-99999」への対応状況を公表しました。同社は「さくらのクラウド」や「さくらのVPS」など5サービスについて影響の有無と範囲を調査しています。脆弱性への対応に伴い、クラウドの新規プロジェクト作成やVPS、レンタルサーバなどの新規申し込みを一時停止しました。既存契約のサービスについては通常どおり稼働していると説明しています。

CVE-2026-99999は「PwnEscape」とも呼ばれる脆弱性です。仮想マシンからホスト側のLinuxカーネルに影響を及ぼし得る問題として、10月15日にLinuxカーネルCVEチームが公表しています。

さくらインターネットの対応状況サマリー

公表日： 2026年10月16日（全社向けお知らせは同日17時時点の情報）
対象脆弱性： CVE-2026-99999（PwnEscape）、LinuxカーネルのIPv4パケット処理に関連
影響調査の対象サービス： さくらのクラウド、さくらのVPS、さくらのレンタルサーバ、高火力 DOK、高火力 VRT
さくらのクラウド： 新規プロジェクト作成を停止。既存プロジェクトと作成済みリソースの稼働は継続
さくらのVPS： 全リージョン・全プランの新規申込、スケールアップなど一部機能を停止。既存契約は稼働中
レンタルサーバ／マネージドサーバ： 対象プランの新規申込を停止。既存契約は稼働中
再開時期： それぞれの案内では未定。必要に応じてホストメンテナンスを実施する可能性
利用者側の対応： 自身でOSを管理する環境では、ディストリビューションの案内を確認し、影響があれば更新を適用

クラウドの新規プロジェクト作成停止、VPSはスケールアップも対象

同社のサービス別案内によると、10月16日から次の制限が実施されています。

サービス	10月16日発表の制限内容	既存利用への案内
さくらのクラウド	新規プロジェクト作成を一時停止	既存プロジェクトは利用可能。作成済みリソースの稼働に影響なし
さくらのVPS	石狩・東京・大阪の全リージョンで全プランの新規申込を停止。スケールアップ、持ち込みISOによるインストール、さくらのクラウドへのマイグレーションも停止	現在契約中のプランは通常どおり稼働
さくらのレンタルサーバ・マネージドサーバ	レンタルサーバ、メール専用、マネージドサーバの対象プランで新規申込を停止	現在契約中のプランは通常どおり稼働

さくらのクラウドでは、新規プロジェクトの作成が必要な場合、「さくらの専用サーバ PHY」や「高火力PHY」の申し込みにも影響するとしています。高火力 DOKと高火力 VRTについては全社向けお知らせで影響調査の対象に挙げられていますが、上記の新規申込停止と同じ制限が適用されるとまでは案内されていません。

同社は脆弱性への対策として、今後ホスト側のメンテナンスを実施する可能性も説明しています。実施する場合は、対象者への影響や日時を別途案内する方針です。今回の公表は脆弱性への影響調査と予防的な機能制限に関するもので、同社サービスが実際に侵害されたことを示す発表ではありません。

CVE-2026-99999とは―仮想環境のホストにも影響し得るネットワーク処理の問題

LinuxカーネルCVEチームは10月15日、CVE-2026-99999を公表し、CVSS v3.1の基本評価値を「9.3（Critical）」としています。IPv4ネットワーク処理において、チェックサムに関する不正なメタデータが渡された際の検証が不十分で、ネットワークヘッダーやメモリに問題が生じ得る脆弱性です。

仮想化環境では、ゲスト仮想マシンが送出するネットワークパケットの処理がホストのLinuxカーネルに影響する構成があります。研究者のPaulos Yibelo氏は、所有するKVM検証環境でホストメモリの情報取得や、ホスト側での処理実行に至る一連の動作を実証したと報告しています。ただし、研究環境での実証と、商用クラウド環境で攻撃被害が発生した事実は別です。

Red Hatは、脆弱なゲスト・ホスト構成で悪用された場合、ホストメモリの情報漏えいやサービス拒否（DoS）、コード実行につながる可能性を指摘しています。攻撃成立条件は仮想化方式やネットワーク構成などで異なり、Linuxを利用する全サービスが同じ条件で影響を受けるわけではありません。

修正済みカーネルと管理者が確認すべき点

LinuxカーネルCVEチームが10月15日付で示した、主な安定版系列の修正取り込みバージョンは次のとおりです。

系列	修正が取り込まれたバージョン
5.10	5.10.272
5.15	5.15.223
6.1	6.1.190
6.6	6.6.159
6.12	6.12.113
6.18	6.18.57
7.2	7.2.11

これらはLinuxカーネルの上流・安定版系列の情報です。Red Hat Enterprise LinuxやUbuntuなどのディストリビューションでは、独自に修正をバックポートする場合があるため、表示されるカーネルの番号だけで対策状況を判断せず、OSベンダーが提供するセキュリティアドバイザリを確認する必要があります。

自社でLinuxホストやKVMベースの仮想化基盤を管理している組織は、使用しているホストOS、カーネル、仮想ネットワーク方式、修正適用状況を確認してください。LinuxカーネルCVEチームは最新の安定版への更新を推奨しています。セキュリティパッチ適用に伴う再起動や仮想マシンの移行が必要となる場合は、サービス影響を確認して保守計画へ反映します。

一方、マネージドサービスでは提供事業者の影響調査・保守案内を優先します。例えばAWSは、Amazon EC2、AWS Lambda、AWS Fargateについて、この問題の影響を受けず利用者の対応は不要と公表しています。利用者側で対応すべき範囲は、クラウド事業者や利用形態によって異なります。