Linux カーネル cgroups v1 release_agent 権限昇格（コンテナエスケープ）

High（CVSS 7.8）に分類されるLinux Linux Kernel (cgroups v1)の脆弱性です。Linux カーネルの cgroups v1 の cgroup_release_agent_write（kernel/cgroup/cgroup-v1.c）に、release_agent を設定するプロセスが CAP_SYS_ADMIN を持つかの検証が欠落していた脆弱性。cgroups v1 のみが対象。コンテナ内で root 権限を持つ攻撃者が cgroup コントローラをマウントし notify_on_release と release_agent を設定すると、プロセス終了時にホストカーネルが最上位権限（初期名前空間の root・全ケーパビリティ）で攻撃者制御のバイナリを実行してしまい、コンテナエスケープとホスト側 root 実行に至りうる。2022年の脆弱性だが 2026-06 に CISA KEV へ追加され、未パッチ環境での実際の悪用が確認されている。AppArmor/SELinux/seccomp が有効な標準的コンテナ構成ではエスケープが阻止される。

各環境ともカーネルは 2022 年に修正済み（4.9.301+ / 4.14.266+ / 4.19.229+ / 5.4.177+ / 5.10.97+ / 5.15.20+ / 5.16.6+ 以降）。方針はノード/ホストのカーネルを修正版以降へ更新すること。多層防御として seccomp/AppArmor/SELinux を有効化（マネージド Kubernetes は既定で有効）し、コンテナに不要な CAP_SYS_ADMIN を付与しない。cgroups v2 は本問題の影響を受けない。KEV 追加は旧来の未更新システムが狙われている警告であり、レガシー/長期稼働ノードのカーネル更新を優先する。

Linux Linux Kernel (cgroups v1) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2022-0492）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/06/05 です。推奨される対応: ベンダー指示に従い緩和策を適用（CISA KEV）。