Matt Corallo氏が発端となったLinuxカーネル脆弱性、LNDの緩和策がリリース

10月30日、Bitcoin CoreおよびLightning開発者のMatt Corallo氏は、重大なLinuxカーネルの欠陥に注意を喚起し、自身が「史上最も重大なLinux脆弱性」と表現したものに対するUbuntuの対応の遅さを問題視した。CVE-2026-98432と指定されたこの脆弱性は、カーネルのIPv4 TCPハンドシェイクロジックに影響を及ぼし、CVSSスコアは9.8である。AnthropicのFrontier Red Teamはその後、Multipath TCP（MPTCP）リスナーを公開しているシステム上で、このバグがリモートルートエクスプロイトに悪用され得ることを実証した。

同じ日、Peter Todd氏はこの警告をさらに強化し、Linux上でLNDを運用しポートを公開しているすべての人に対し、カーネルパッチまたは代替の緩和策が適用されるまでBitcoin Lightningノードをオフラインにするよう促した。公開された攻撃ベクトルはMPTCPリスナーに依存しており、Go 1.24以降のバージョンではこれがデフォルトで有効になる。LNDはGoで構築されているため、最近のリリースは、カーネルがこの機能をサポートしている場合には常に、ピア、gRPC、RESTの各ポートでMPTCP経由の待ち受けを行っていた。

Lightning Labsは同じ日に迅速に対応し、緊急バージョンであるlnd v0.21.6-betaとバックポート版v0.20.7-betaをリリースした。どちらのリリースもデフォルトでMPTCPリスナーを無効化し、LNDに対して実証されていたエクスプロイト経路を閉じた。チームはこのアップデートを完全な修正ではなく緩和策と位置づけ、根本的原因に対処するのはパッチ適用済みカーネルのみであると強調した。同じホスト上の他のサービスは、システム全体でMPTCPが無効化されるか、カーネルにパッチが適用されるまでリスクが残る。Olaoluwa Osuntokun氏とLightning Labs公式アカウントは両者ともユーザーにアップデートの適用を推奨した。

セキュリティ研究者のMarcus Hutchins氏はその後、インターネット全体で広範なスキャンが行われていると報告した。これは脆弱なシステムを探す脅威アクターの行動と一致する。同氏のスキャンでは、ポート443でMPTCP経由でアクセス可能な約210万台のサーバーが特定された。11月4日、International Cyber Digestはこの発見を取り上げ、スキャン活動とUbuntuの比較的遅いパッチ展開の両方を指摘した。

Canonicalはその後、Ubuntu 22.04、24.04、26.04向けに、オプトインの「proposed」ポケットでパッチ適用済みカーネルを提供しているが、これらは通常のupdatesチャネルにはまだ配信されていない。Red Hatは11月1日にRHEL 8/9/10向けの修正を提供した。一方、Debian、Amazon Linux、その他のディストリビューションはそれ以前にすでにパッチをリリースしていた。

11月1日、UmbrelOS 2.0.1はx86デバイス向けのカーネル修正を組み込み、パッチ適用済みカーネルがまだ準備されていないRaspberry Piにはトラフィック遮断の回避策を展開した。実際の環境での確認された悪用は記録されておらず、この脆弱性はCISAのKnown Exploited Vulnerabilitiesカタログには掲載されていない。Anthropicのリモートルートの概念実証は公開されていない。

実際的なリスクが最も大きいのはインターネットに面したサーバーである。標準的なNATとファイアウォールの背後にあり、公開TCPリスナーを持たない家庭用デスクトップは、はるかに脆弱性が低い。Linux上のLightningノード運用者にとって、LNDアップデートは公開デモで悪用された特定のMPTCPリスナーの経路を排除するが、根本的なカーネル欠陥は、パッチ適用済みカーネルが導入されるまで残る。