Linux Kernel 19年ゼロデイ脆弱性 CVE-2026-43456 bonding driver 詳細と影響

---

CVE-2026-43456 の概要と発見経緯

Linux kernel の bonding driver に19年以上潜んでいた type confusion 脆弱性 CVE-2026-43456 が、2026年5月に NVD で公開されました。この脆弱性は、GMOサイバーセキュリティ byイエラエの調査で注目を集め、Hatena Bookmark IT hotentry でも取り上げられました。ただし、事実確認は NVD や Red Hat の公式情報に基づきます。

📑目次

1. CVE-2026-43456 の概要と発見経緯
2. 技術的詳細：bonding driver の type confusion 脆弱性
3. 影響範囲とリスク評価
4. 修正パッチの内容と適用方法
5. 運用現場での確認・回避策チェックリスト
6. よくある質問 (FAQ)
7. まとめ

NVD のエントリによると、この脆弱性は bond_setup_by_slave() 関数内の type confusion に起因します。非Ethernetデバイス、例えば Generic Routing Encapsulation (GRE) tunnel を使用する環境で影響を受けやすいとされています。19年以上にわたって見過ごされてきた古いコードパスが原因とみられます。

---

技術的詳細：bonding driver の type confusion 脆弱性

bonding driver は、複数のネットワークインターフェースを束ねて冗長性や帯域幅を向上させる機能を提供します。このドライバ内の bond_setup_by_slave() 関数で、引数の型が想定と異なる場合に type confusion が発生します。

具体的には、Ethernet デバイスを前提とした処理が、GRE tunnel などの非Ethernetデバイスで誤動作を引き起こす可能性があります。Red Hat の CVE エントリでは、影響範囲は bonding driver を使用する Linux kernel 環境全般とされています。

この問題は、kernel の古いバージョンから存在し、stable ブランチで修正コミットが適用されています。修正コミットのハッシュは 6ac890f1d60ac3707ee8dae15a67d9a833e49956 です。

---

影響範囲とリスク評価

影響を受けるのは、bonding driver を有効にし、非Ethernetデバイス（GRE tunnel など）を利用する Linux kernel 環境です。Red Hat によると、深刻度は bonding driver の使用状況に依存します。

実際の運用では、bonding を使用しているサーバーやネットワーク機器で、特定のトンネル設定がある場合に注意が必要です。19年以上の長期にわたる潜在的なリスクであったため、早急なパッチ適用が推奨されます。

項目	内容
CVE ID	CVE-2026-43456
公開日	2026-05-08 (NVD)
影響コンポーネント	Linux kernel bonding driver
脆弱性タイプ	Type confusion
影響デバイス	非Ethernet (例: GRE tunnel)
修正状況	kernel.org stable コミット適用済み
深刻度	Red Hat による評価（環境依存）

---

修正パッチの内容と適用方法

修正は kernel.org の stable ブランチにコミットされています。主な変更は bond_setup_by_slave() 関数の型チェック強化です。

管理者向けの手順:

1. 現在の kernel バージョンと bonding driver の使用状況を確認する
2. Red Hat またはディストリビューションのセキュリティアドバイザリを参照
3. 該当する stable パッチを適用した kernel に更新
4. 再起動後に bonding 設定を検証

具体的なコミットは https://git.kernel.org/stable/c/6ac890f1d60ac3707ee8dae15a67d9a833e49956 で確認可能です。

---

運用現場での確認・回避策チェックリスト

運用担当者がすぐに確認できるチェックリストをまとめます。

• bonding driver が有効か確認（ip link や /proc/net/bonding/ 参照）
• GRE tunnel や非Ethernetデバイスを bonding で使用していないか確認
• kernel バージョンを最新 stable に更新済みか確認
• NVD や Red Hat の CVE エントリを定期的に監視
• パッチ適用後、ネットワーク冗長性のテストを実施

これらの手順を踏むことで、リスクを低減できます。

---

よくある質問 (FAQ)

Q: この脆弱性は実際に悪用された事例がありますか？

現時点で公開情報では具体的な悪用事例は報告されていませんが、19年以上潜在していたため、早めの対応が重要です。NVD と Red Hat の情報を基に判断してください。

Q: どの Linux ディストリビューションが影響を受けますか？

bonding driver を使用するすべての Linux kernel 環境が対象です。Red Hat Enterprise Linux や CentOS などの商用ディストリビューションも含みます。

Q: パッチ適用以外に回避策はありますか？

非Ethernetデバイスの bonding 使用を避ける一時的な回避策が考えられますが、根本解決はパッチ適用です。

Q: 修正コミットはどのブランチに適用されていますか？

kernel.org の stable ブランチ（例: linux-6.1.y など）に適用されています。詳細は git.kernel.org で確認してください。

Q: 定期的な脆弱性チェックの推奨方法は？

NVD の CVE フィードや Red Hat Security Advisories を購読し、bonding driver 関連の更新を監視することをおすすめします。

Q: この脆弱性は 19 年以上前から存在していたのですか？

コードパスの分析から、19年以上にわたって見過ごされていた可能性が高いと指摘されています。

---

関連記事:

• 旧型 iPhone / iPad に修正不能な脆弱性「usbliter8」— 対象機種とリスクを解説
• BIGLOBE 不正アクセスでパスワード漏えい可能性 — 至急変更を
• マネーフォワード、GitHub不正アクセスで新たに6.3万人分の情報流出可能性 — 公式調査完了

まとめ

CVE-2026-43456 は Linux kernel bonding driver の長年の潜在的リスクを明らかにした事例です。NVD や Red Hat の独立ソースに基づき、影響範囲と修正方法を確認し、運用環境での早急な対応を推奨します。読者の皆さんは、まず自環境の bonding 設定を確認し、必要に応じて kernel 更新を計画してください。