Linux カーネルの af_alg で同時書き込みによる状態不整合（KEV・是正期限 2026-09-21）

Medium（CVSS 5.5）に分類されるLinux Linux カーネルの crypto/af_alg（AF_ALG ソケット）。修正は stable の複数系列に入っており、Ubuntu は plucky 6.14.0-37.37 / noble 6.8.0-90.91 / jammy 5.15.0-164.174 / focal 5.4.0-224.244 / bionic 4.15.0-245.257 / xenial 4.4.0-276.310 で修正済みとしているの脆弱性です。**同じ AF_ALG ソケットへ2つの書き込みを同時に投げると、データが予測できない順で混ざる。** カーネルの修正コミットの説明によれば、`af_alg_sendmsg()` は同一ソケットへの並行書き込みを想定しておらず、データがばらばらに織り込まれるだけでなく**ソケット内部の状態に不整合を生じうる**。修正は `ctx->write` フィールドを追加して書き込みの排他所有を示すというもので、並行書き込み自体を禁止する形になっている。 AF_ALG はユーザ空間からカーネルの暗号 API を使うためのソケットインタフェースである。**使っていなければ触れない経路**だが、暗号処理をカーネル側に寄せている構成では通り道になる。 **すでに悪用されている。** CISA は 2026年9月18日にこの CVE を KEV（悪用が確認された脆弱性カタログ）へ収載し、是正期限を **2026年9月21日**とした。CVSS の点数だけを見ると後述のとおり中程度だが、**KEV 収載は「実際に悪用が確認された」という別軸の情報**であり、点数が低いことは優先度を下げる理由にならない。本サイトが掲載基準 (B)（KEV 収載）で載せているのはこのためである。 **評価点はソースによって大きく割れている。** NVD が Primary として付けている CVSS 3.1 は **5.5 Medium**（AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H）で、影響を可用性のみとみなしている。一方、カーネルの CNA が付けた値は **7.8 High**（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）で、機密性・完全性への影響も立てている。Ubuntu の追跡ページはさらに低く **3.3 Low**、Ubuntu の優先度は Medium である。**本サイトの掲載値は NVD の 5.5 を採っている。** 差は「状態不整合がデータの漏れや改ざんまで行くとみるか、クラッシュ止まりとみるか」の見立ての違いで、実運用の優先度は KEV 収載と AF_ALG を使っているかで判断するのが妥当である。

**カーネルを修正入りのバージョンへ更新する。ディストリビューションのパッケージ更新で対処する。** Ubuntu の追跡ページ（2026-09-20 時点）は、plucky（25.04）6.14.0-37.37、noble（24.04 LTS）6.8.0-90.91、jammy（22.04 LTS）5.15.0-164.174、focal（20.04 LTS）5.4.0-224.244、bionic（18.04 LTS）4.15.0-245.257、xenial（16.04 LTS）4.4.0-276.310 を修正済みとしている。resolute（26.04 LTS）と questing（25.10）は not affected、trusty（14.04 LTS）は ignored である。 **AF_ALG を使っていないなら、この経路は踏まない。** 影響は `AF_ALG` ソケットを開いて同一ソケットへ並行して書き込む処理に限られる。カーネルの暗号 API をユーザ空間から叩く実装（一部の VPN・ストレージ暗号化・暗号ベンチマーク等）を抱えているかを先に洗い出すと、更新の優先順位を付けやすい。ただし**KEV 収載済みで是正期限が 2026年9月21日**なので、切り分けに時間をかけるより先に更新を当てるほうが早いことが多い。 **公式に示された回避策は確認できていない。** CISA の requiredAction も「ベンダーの指示に従って緩和策を適用する」という一般的な文言で、この CVE 固有の回避手順は示されていない。更新後は再起動が要る（live patch を使っている場合はその提供状況を確認する）。 なお Siemens が ProductCERT のアドバイザリ SSA-019113 でこの CVE に言及しており、産業用機器側でも追跡されている。

Linux Linux カーネルの crypto/af_alg（AF_ALG ソケット）。修正は stable の複数系列に入っており、Ubuntu は plucky 6.14.0-37.37 / noble 6.8.0-90.91 / jammy 5.15.0-164.174 / focal 5.4.0-224.244 / bionic 4.15.0-245.257 / xenial 4.4.0-276.310 で修正済みとしている を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-39964）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/21 です。推奨される対応: ベンダーの指示に従って緩和策を適用する（BOD 26-04 の指針と CISA の Forensics Triage Requirements に従う）。クラウドサービスについては BOD 26-04 の該当指針に従い、緩和策が無い場合は製品の使用を中止する。