米当局、「Linuxカーネル」の脆弱性3件を悪用リストに追加

米当局は、「Linux Kernel」に存在する3件の脆弱性が悪用されているとして注意喚起を行った。米行政機関に対して早急な対応を求めている。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）が現地時間2026年9月18日、「悪用が確認された脆弱性カタログ（KEV）」に3件の脆弱性を追加したもの。修正プログラムの適用だけでなく、侵害の痕跡についても調査するよう求めている。

「CVE-2025-39682」は、LinuxカーネルのTLS処理機能「kTLS」に存在する脆弱性。受信キューから取り出した長さがゼロのTLSレコードが適切に処理されず、後続のレコードが誤った前提で処理されるおそれがある。

ネットワークのブリッジでパケットを処理する「ebtables」における脆弱性「CVE-2026-53266」が確認された。ARPパケットの送信元MACアドレスを書き換える際に、域外メモリへデータが書き込まれるおそれがある。

暗号処理をユーザー空間から利用するためのインタフェース「AF_ALG」では、競合状態の脆弱性「CVE-2025-39964」が悪用されている。同一ソケットに対する同時書き込みにより、データが予期せず混在し、ソケットの内部状態に不整合が生じるおそれがある。

（Security NEXT - 2026/09/19 ）ツイート