話題
2026年11月3日
Ubuntuの重大脆弱性、対応の遅さに海外エンジニアから疑問の声
Hacker Newsで、LinuxカーネルのCVSS9.8(Critical)の脆弱性CVE-2026-98432に対するUbuntuの対応の遅さが話題になっていた。10月15日の公開から2週間以上、ボランティア運営のDebian・Arch・Alpineは既に修正版を出している一方、企業が運営しセキュリティサブスクリプション「Ubuntu Pro」を販売しているUbuntuは11月2日時点でも未修正のままだったという。スレでは、CVSSスコアの高さが実害の大きさをどこまで反映しているかという技術的な議論と、Canonicalの商習慣への不満が絡み合い、DebianやAlmaLinux、Rocky Linuxへの移行を語る声も相次いだ。
一体何なんだ、Ubuntu?
出典: chalmovsky.com / 元記事はこちら
3
海外の名無しさん
2026-11-02 15:09
Debianじゃなくてあえてubuntuを使う理由って何?純粋に気になってるんだけど。Debianに無くてUbuntuが提供してるものって何?
43
海外の名無しさん
2026-11-02 15:27
>>3
知ってる限り、Debianだと古いバージョンのパッケージのままになる(testing版を使わない限り)
44
海外の名無しさん
2026-11-02 15:24
>>3
Debianの枯れたパッケージとカーネルのせいかな
47
海外の名無しさん
2026-11-02 15:23
>>3
自分の場合は単に習慣。でもこの投稿みたいな不満を見てると、その習慣を破りたくなってきてる。ここ2週間インフラの運用が本当にしんどくて、この件でのUbuntuの対応の遅さがそのしんどさに拍車をかけてる
5
海外の名無しさん
2026-11-02 15:15
この脆弱性で実際に被害を受けた企業ってあるの?Ubuntuのインストール数は膨大なのに目立った被害が出てないってことは、CVSS9.8は実態を反映してないんじゃないかな。そろそろ『盗まれたビットコインV2』でも作る時期かもね
66
海外の名無しさん
2026-11-02 15:20
>>5
誰かがV2を作るなら、今度こそ実際に攻撃可能な設定にしてほしい。前回はCTFの設定ミスで『このCVEは大したことない』と誤解させた上に、修正後2時間もしないうちにシステムが乗っ取られたわけだから
67
海外の名無しさん
2026-11-02 15:19
>>5
そもそもCVSSは『実世界への影響』の指標としては優秀じゃない。1回しかデプロイされないソフトにスコア10が付くこともあって、その場合の影響は微々たるもの。今回のケースでmultipathを使ってるのはそう多くない(Goが使ってる以外は)
68
海外の名無しさん
2026-11-02 15:24
>>5
インターネット越しだとそこまで心配いらないと思う。攻撃に必要なパケットは大抵フィルタされるから。でもエンドユーザー端末からコアサーバーへの権限昇格手段として見ると結構怖い。誰でも簡単に突けるものじゃなくても十分に懸念材料になる
6
海外の名無しさん
2026-11-02 15:08
AWSはAmazon Linux 2向けにパッチを出してるのに、Ubuntuはまだ…って感じだよね
7
海外の名無しさん
2026-11-02 15:19
Ubuntuだけの話じゃないよね?Red Hatもまだパッチ出してないんじゃない?(ステータスは今も『対応中』のはず)
8
海外の名無しさん
2026-11-02 15:34
最近のPHPの脆弱性でも同じことがあった。Debianは事前にパッチを用意してたのに、Ubuntuは何時間も遅れて出した…
10
海外の名無しさん
2026-11-02 15:19
これがUbuntuのこの脆弱性についてのページ:https://ubuntu.com/security/CVE-2026-98432 公開から1週間以上、パッチが出てからも未修正のまま。自分としてはRocky Linux 10に移りたい気持ちが半分ある
69
海外の名無しさん
2026-11-02 15:22
>>10
それはもう『理解不能』の領域だよ。そのページの冒頭に『Ubuntu優先度:高[…]9.8・Critical[…]公開日2026年10月15日[…]最終更新2026年10月30日』と書いてあって、まさにそれが『WTF Ubuntu』が正しい反応である理由
70
海外の名無しさん
2026-11-02 15:29
>>10
『Rocky Linux』か。Rockyは自前ビルドのパッケージを使ってるの?それともRHELのをそのまま使ってるの?Red Hatもまだパッチ出してないんじゃなかった?
11
海外の名無しさん
2026-11-02 15:32
UbuntuからNixOSへの移行を考えてる。セキュリティ更新の対応はUbuntuより良いのかな?
12
海外の名無しさん
2026-11-02 15:30
不満は分かるけど、iptablesのルールで緩和できる現実的な回避策があるんじゃない?まずそれを展開しない理由は?
71
海外の名無しさん
2026-11-02 15:34
>>12
それだと不満を盛り上げる材料にならないからじゃない?
14
海外の名無しさん
2026-11-02 15:11
『自分が使ってる無料のOSがエンタープライズ級のセキュリティ更新をくれない』──Ubuntuのソースコードには誰でもコントリビュートできるはずだよね?だったら自分で直せばいいんじゃない?
75
海外の名無しさん
2026-11-02 15:14
>>14
彼らの言い分は、Canonicalは実際に(一部の企業向けに)セキュリティ更新を有料で提供してるのに、それを提供できていないという点
77
海外の名無しさん
2026-11-02 15:15
>>14
カーネルのコミット権限を取って『自分で直す』なんて、企業主導の開発プロジェクトでやってみろって話。できるならやってみせてよ
78
海外の名無しさん
2026-11-02 15:26
>>14
記事にはこう書いてある。『ちなみにボランティアが運営するディストリ(Debian、Arch、Alpineなど)はすでに修正版を出している。一方セキュリティサブスクリプションを売る企業が作るUbuntuはまだ出していない』。これは2026年11月2日14:48(UTC)時点の話
15
海外の名無しさん
2026-11-02 15:12
Ubuntu Proの顧客には修正が届いた?
85
海外の名無しさん
2026-11-02 15:20
>>15
自分が持ってるUbuntu Proのサーバー1台には、まだ修正が来てない。本当はFedoraを使いたかったけど『サポート対象外』でUbuntuを使わせられた
86
海外の名無しさん
2026-11-02 15:26
>>15
これが一番大事な問いだと思う。無料でUbuntuを使いながら文句を言ってる人たちへ:無料で使わせてくれてる相手は、あなたに何も義務を負ってないよ
16
海外の名無しさん
2026-11-02 15:22
Debianに回帰する人たちをまた見られて嬉しいよ。10年以上、Debianサーバーを『古臭くてダサい』と茶化する『新しい流行り』好きな連中の声を聞いてきた。さあ今の自分を見てみろって話
17
海外の名無しさん
2026-11-02 15:08
確かに奇妙だね。自分はClaudeを使って手動で緩和策を当てて、ルーターと全ノードのiptablesでipoptionsをブロックした
18
海外の名無しさん
2026-11-02 15:30
Ubuntu Proを売るためにわざと痛い目を見せてるのかもね
19
海外の名無しさん
2026-11-02 15:13
デフォルトをAlmaLinuxに切り替えた。Hardy Heron(8.04)の頃からUbuntuのファンだったけど、CanonicalがUbuntu Proを強く押し始めてからやめた
87
海外の名無しさん
2026-11-02 15:18
>>19
広告は好きじゃないし、SSHでログインしたらUbuntu Proへのアップグレードを促す通知が出てくるのも嫌だった。2023年にまだ20.04を使ってる『度胸』があるからって理由で。前のリリースでも見たことがあるし消し方も知ってるけど、またそれを見せられたのが決定打になった
20
海外の名無しさん
2026-11-02 15:15
普通のDebianに切り替えた。自分はそうした。簡単に直せない大きな問題は無かった。今も安定して動いてる
21
海外の名無しさん
2026-11-02 15:12
Dockerイメージにパッケージ(chromium-browserとか)をインストールしようとするときのsnapについても話すべきじゃない?
22
海外の名無しさん
2026-11-02 15:09
Canonicalだけの問題じゃない。でも数ヶ月前にローカル権限昇格の脆弱性が出たときも、数日間修正されなかった
88
海外の名無しさん
2026-11-02 15:13
>>22
もう2週間近いよ。『数日』どころじゃない
23
海外の名無しさん
2026-11-02 15:19
『サーバーを全部Ubuntuから移す』──そんなに簡単だったらいいんだけどね
24
海外の名無しさん
2026-11-02 15:21
Omarchyはこれにパッチを当てた?誰か知ってる?(今使ってるわけじゃないけど気になって)
26
海外の名無しさん
2026-11-02 15:25
そもそもUbuntuでmultipathを使ってる人がどれだけいる?これはファンシーなネットワーク機能を使うデータセンターのシステムにとって大きな問題で、普通のUbuntuユーザーはそんなもの使ってないと思う
27
海外の名無しさん
2026-11-02 15:21
自分は正直、従来型の『Linuxディストリビューション』をほぼ使わなくなった
29
海外の名無しさん
2026-11-02 15:13
これが話題になってるのはメディアと話題性のせいで、去年にはもっと酷い脆弱性があったのに誰も気にしてなかった
90
海外の名無しさん
2026-11-02 15:23
>>29
それは『このIPv4 TCPバグを突くmptcpのエクスプロイトが、見つかる唯一のエクスプロイトだ』という前提があってこそ成り立つ話。その前提は成り立たないと思う
この話題の背景と論点
話題になっているCVE-2026-98432は、LinuxカーネルのIPv4/マルチパス処理に関する脆弱性で、CVSSスコアは9.8(Critical)。10月15日に公開され10月30日に更新されたが、11月2日時点でもUbuntuは未修正のままだった。一方Debian・Arch・Alpineといったボランティア運営のディストリは早期に修正版を出している。論点は大きく二つに割れた。一つは「CVSSスコアが高くても実際の攻撃事例が無いなら深刻度は過大評価では」という技術的な懐疑論、もう一つは「Canonicalは企業向けにセキュリティサブスクリプション(Ubuntu Pro)を販売しているのに、肝心の修正提供が遅い」という商習慣への批判。無料で使っている側に義務はないという反論も出ており、フリーソフトウェアの利用と対価の関係という普遍的な論点も絡んでいる。multipath機能自体の利用者が限られる点も、深刻度の受け止め方の差につながっている。
※本記事は海外掲示板 Hacker News のスレッド「WTF Ubuntu?」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
この記事のリアクション
まだコメントはありません。