Linux カーネルの TLS 受信でゼロ長レコードの扱いに不備（CVSS 7.1・KEV・是正期限 2026-09-21）

High（CVSS 7.1）に分類されるLinux Linux カーネルの net/tls（カーネル TLS の受信経路）。Ubuntu は plucky 6.14.0-34.34 / noble 6.8.0-86.87 で修正済みとしており、jammy 以前は not affectedの脆弱性です。**カーネル TLS の受信処理が、長さゼロのレコードを想定していない経路を持っていた。** 修正コミットの説明によれば、`recvmsg()` の1回の呼び出しは「連続する DATA レコードだけ」か「DATA 以外のレコード1つ」のどちらかを処理する決まりになっている。種類が変わったところで処理ループを抜け、復号済みのレコードは `rx_list` へ積んで次の `recvmsg()` に渡す。 **問題はゼロコピー復号と噛み合わせたときに出る。** ゼロコピーで復号した場合、データはユーザ空間のバッファへ直接書かれるので、`rx_list` へ積むための skb が手元に無い（`darg.skb` は長さなどのメタデータを見るための暗号文側の skb を指している）。ゼロコピーが許されるのは DATA レコードだけで、DATA 以外を処理したら必ずループを抜ける作りになっている。**最初のレコードが `rx_list` から来ていて、かつそれが長さゼロだった場合**に、この前提の隙間に落ちる。 **すでに悪用されている。** CISA は 2026年9月18日にこの CVE を KEV へ収載し、是正期限を **2026年9月21日**とした。カーネル TLS は TLS の暗号処理をカーネルへ降ろす仕組みで、高負荷なサーバや一部の NFS / RDMA 構成で使われる。 **評価点はソースによって割れている。** NVD が Primary として付けている CVSS 3.1 は **7.1 High**（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H）。カーネルの CNA が付けた値は **9.8 Critical**（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、攻撃元をネットワーク・権限不要としている。Ubuntu の追跡ページの表示は 7.1 で NVD と同じ、優先度は Medium である。**本サイトの掲載値は NVD の 7.1 を採っている。** 差は「ローカルの権限が要るとみるか、ネットワーク越しに直接踏ませられるとみるか」の見立ての違いである。

**カーネルを修正入りのバージョンへ更新する。ディストリビューションのパッケージ更新で対処する。** Ubuntu の追跡ページ（2026-09-20 時点）は、plucky（25.04）6.14.0-34.34、noble（24.04 LTS）6.8.0-86.87 を修正済みとしている。**jammy（22.04 LTS）・focal（20.04 LTS）・bionic（18.04 LTS）は not affected**、resolute（26.04 LTS）と questing（25.10）も not affected である。 **影響を受ける範囲が新しめのカーネルに寄っている**のがこの CVE の特徴で、22.04 LTS 以前で止まっている環境は対象外と判定されている。まず自分のカーネル系列が 6.8 以降かどうかを見ると、対応の要否が早く決まる。 **カーネル TLS（ktls）を使っていなければ、この経路は踏まない。** `tls` モジュールが読み込まれているか、アプリケーションが `TCP_ULP` で `tls` を設定しているかが判定の入口になる。ただし**KEV 収載済みで是正期限が 2026年9月21日**なので、切り分けより先に更新を当てるほうが早い環境も多い。 **公式に示された回避策は確認できていない。** Debian は LTS のアナウンス（debian-lts-announce 2025/10）でこの CVE を扱っており、Siemens も ProductCERT のアドバイザリ SSA-032379 で言及している。更新後は再起動が要る。

Linux Linux カーネルの net/tls（カーネル TLS の受信経路）。Ubuntu は plucky 6.14.0-34.34 / noble 6.8.0-86.87 で修正済みとしており、jammy 以前は not affected を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-39682）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/21 です。推奨される対応: ベンダーの指示に従って緩和策を適用する（BOD 26-04 の指針と CISA の Forensics Triage Requirements に従う）。クラウドサービスについては BOD 26-04 の該当指針に従い、緩和策が無い場合は製品の使用を中止する。