人工知能を活用したバグハンティングプラットフォームが、Linuxカーネルに15年間潜んでいた脆弱性を発見した。この脆弱性により、特権のないユーザーでも数秒でルートアクセスに昇格できるようになり、脆弱性発見へのAI活用が加速する中で新たな節目となった。
CVE-2026-43499として追跡され、GhostLockと名付けられたこの欠陥は、カーネルのプライオリティ継承futexコードにおけるuse-after-free脆弱性で、2011年から存在している。CVSSスコアは7.8（High）である。Nebula Securityの研究者らが、同社のVEGA AIプラットフォームを使用して発見した。このプラットフォームは、人間のレビュー担当者がほとんど再訪していない古いカーネルコードを体系的に分析した。
「誰も気づかなかった。そしてAIバグハンティングツールが探しに行き、今やパッチ未適用のマシンにログインしているユーザーは誰でも約5秒でルートになれる」とSameed Khan氏がSecure.com Newsに報じた。
Nebulaチームは97%の信頼性で動作するエクスプロイトを構築し、この脆弱性がコンテナ分離の回避にも使用できることを実証した。これは、セキュリティをコンテナ境界に依存するクラウドプラットフォーム、マルチテナント環境、CI/CDランナーにとって重大な発見である。Googleはこの発見に対し、kernelCTFバグバウンティプログラムを通じて研究者らに92,337ドルを支払った。
実動するエクスプロイトコードは公開されているが、活発な悪用は報告されていない。
GhostLockの深刻度は、IonStackと呼ばれる実証済みの攻撃チェーンによって増幅される。これはカーネルバグと別のFirefox脆弱性（CVE-2026-10702）を組み合わせたものである。このシナリオでは、被害者は悪意のあるリンクを開くだけでよい。ブラウザのエクスプロイトがFirefoxのサンドボックス内で初期コード実行を提供し、その後GhostLockがセッションを完全なルート制御に昇格させる。研究者らはこのチェーンがAndroid Firefoxに対して機能することを実証した。
この発見は、別のAI発見のLinux権限昇格バグであるBad Epoll（CVE-2026-46242）が関連する古いカーネルコードで開示された数日後になされた。セキュリティ研究者らは、AIを活用した分析ツールが数十年分のレガシーカーネルコードを体系的にくまなく調査するにつれて、このパターンが続くと予想している。
緩和とパッチ適用
GhostLockは2011年以降のすべてのLinuxカーネルに影響を与える。パッチは主要なディストリビューションチャネルから入手可能だが、管理者は各自のディストリビューションの特定の修正を確認する必要がある。初期のパッチでは、一部のビルドで別のカーネルクラッシュが発生した。
パッチ適用を優先すべきシステムは次のとおり：
- コンテナエスケープベクターが最大のリスクとなるマルチテナントクラウドサーバーとコンテナホスト
- 共有開発インフラとCI/CDインフラ
- 特権のないローカルユーザーがアカウントを持つシステム
RANDOMIZE_KSTACK_OFFSETやSTATIC_USERMODE_HELPERなどのカーネル強化機能は悪用をより困難にするが、根本的な脆弱性を除去するものではない。
GhostLockの開示は、サイバーセキュリティにおけるより広範な変化を浮き彫りにしている。AIツールにより、人間のレビュー担当者が長い間優先順位を下げてきた膨大な量のレガシーインフラコードを監査することが可能になりつつある。人間のチームが見逃すのに15年かかったものが、今ではAIによって数時間で発見できる。
出典：GhostLock Flaw Gives Any Linux User Root Access（Secure.com News、2026年7月8日）；AI Found a Root Bug in Linux That Everyone Missed for 15 Years（Wired、2026年7月11日）
雅子 訳