Linux Kernel のゼロデイ脆弱性 CVE-2026-53264：AI による競合状態の解明と PoC の提供

AI-Discovered Linux Kernel Zero-Day Enables Root Privilege Escalation

2026/07/28 gbhackers — Linux カーネル・ゼロデイ脆弱性が、AI を用いる研究者により発見された。この脆弱性を悪用する攻撃者は、影響を受けるシステム上で、ローカル権限昇格により root を取得できる。脆弱性 CVE-2026-53264 は Linux の packet scheduling subsystem (net/sched) に存在し、traffic-control action objects に関係する Use-After-Free 条件に起因する。

AI が発見した Linux カーネルゼロデイ

Star Labs の研究者は、TyphoonPwn 2026 competition 向けに CentOS Stream 9 Desktop を標的とする信頼性の高いエクスプロイトを開発した。それにより実証されたのは、AI によりバグハンティングとエクスプロイト開発のワークフローが強化される一方で、依然として人間による検証と技術的な専門知識が必要になることだ。

“net/sched” が per-network-namespace アクション識別子レジストリを介して、共有 packet-handling アクションを管理する方法に、この脆弱性は影響を及ぼす。脆弱な経路においては、カーネル関数 tcf_idr_check_alloc() が、RCU read lock を保持した状態で action object を検索する。

しかし、別の実行経路では、RCU grace period を待たずに、異なる lock の下で同じ object の削除と解放が可能になるため、レース・コンディション (競合状態) が生じる。それにより攻撃者は、すでに解放された後の action object に対して、カーネルがアクセスする状況を引き起こす可能性がある。

この脆弱性を悪用する前提として、きわめて狭いタイミング・ウィンドウを利用する必要がある。カーネルによる参照カウントの確認とインクリメント前の段階で、攻撃者が制御するデータにより、解放された action object を再利用する必要がある。

この研究者は、上記のレース・コンディションを発火させるために、Linux traffic-control netlink operations を、具体的には filter creation と deletion requests を使用した。

通常において、直接的な action-management operations は、イニシャル・ネームスペースにおいて昇格された、network-administration 権限を必要とする。しかし、プロセスにより CAP_NET_ADMIN capabilities が保持される、別のユーザー・ネームスペースを通じて、このエクスプロイトは機能する。

この攻撃においては、非特権ユーザー・ネームスペースの有効化が必要であり、また、clsact queuing disciplines や flower classifiers といった特定の net/sched features への依存が生じる。これらの条件により、堅牢化された環境の露出は低減するが、デスクトップ向け Linux コンフィグでは一般的に悪用が可能である。

公表された Proof of Concept は CentOS Stream 9 イメージに対してテストされ、複数回の実行における root 権限昇格に成功したと報告されている。侵害に必要な時間は、競合の信頼性と CPU 条件に応じて、数秒から数分まで変動した。

エクスプロイトの一貫性を高めるため、この研究者は、timerfd と epoll のメカニズムを用いて競合のウィンドウを拡大した。それに加えて、CPU cores 全体に別々のスレッドを使用し、それぞれの traffic-control chains に対して競合に関する操作を割り当てた。

この最適化により、Use-After-Free 脆弱性を発火させる推定時間は、テスト環境において 151,515 分超から約 555 秒へ短縮された。その後、このエクスプロイトは、KEYCTL_UPDATE 操作により作成されたユーザー・キー・ペイロードの割り当てを利用して、解放済みのカーネル object を再利用した。

この object の再利用後に、エクスプロイトは破損した action structure からの indirect function call を利用し、カーネル instruction pointer の制御を取得した。また、kernel address-space layout randomization leak と return-oriented programming chain を悪用し、カーネルの core_pattern 設定を上書きした。

その後に、クラッシュを発生させることで、攻撃者が制御する core dump handler が Linux により呼び出され、イニシャル・ネームスペースの root 権限で実行された。

この欠陥は、2年〜3年前から存在していたと考えられている。Linux カーネル向けの stable patch は、commit 5057e1aca011e51ef51498c940ef96f3d3e8a305 を通じて利用可能である。

組織に求められるのは、ベンダーによるカーネル更新の速やかな展開である。その上で、非特権ユーザー・ネームスペースの必要性について評価し、可能な範囲で制限する必要がある。

さらにセキュリティチームは、信頼されていないローカル・ユーザーに対して traffic-control 機能を露出しているシステムを確認すべきである。特に、共有ワークステーション／開発者エンドポイント／マルチユーザーの Linux 環境では重要である。

この研究が浮き彫りにするのは、AI 支援型の分析によりパターン照合／Proof of Concept 作成／レース・コンディションの最適化を加速し、これまで発見されていなかった脆弱性の特定が容易になる可能性である。

しかし、この研究者が強調するのは、AI が依然として、推論エラーや盲点の影響を受けやすいという点である。そのため、真の攻撃経路を特定し、信頼性の高いエクスプロイトを開発するには、サブシステムに関する深い知識が不可欠となる。

訳者後書：Linux カーネルに存在する CVE-2026-53264 は、ネットワーク処理の仕組みにおいてメモリが不適切に扱われることで発生します。処理のタイミングが重なると、本来は保護されるべきメモリ領域への意図しないアクセスが生じることを、AI を活用する研究者が発見しました。この脆弱性が悪用されると、一般的な利用権限しか持たない状態から、システム全体を管理できる最も強い権限を不正に取得される恐れがあります。影響を最小限に抑え、システムを安全に利用するためにも、修正済みの新しいバージョンへ速やかに更新してください。あわせて、必要のないユーザーによる特殊な権限の利用を制限する設定の見直しも効果的です。