AIを活用したバグハンティングで、Linuxカーネルのnet/schedにゼロデイ脆弱性が発覚

ローカルから権限を昇格させてrootを取得できる、Linuxカーネルの数年来の脆弱性が明らかになりました。AIを活用した調査により、net/schedにおける競合状態(レースコンディション)が発見されたことがきっかけです。

7月27日に公開された新たな研究によると、シンガポールの攻撃的セキュリティ企業STAR Labsに所属するLee Jia Jie氏は、インターンシップ中にこの解放済みメモリ使用(use-after-free)の脆弱性を発見したとのことです。同氏にとってはこれが初めてのLinuxカーネル関連の研究でした。

この脆弱性はCVE-2026-53264として追跡されています。

競合状態により解放済みのカーネルオブジェクトが露出

net/schedは、ネットワークパケットの送信タイミングと方法を制御するコンポーネントです。今回の脆弱性は、共有データ構造体をめぐるロック処理の不整合に起因しています。あるファンクションがRead-Copy-Update(RCU)ロックの下でエントリを読み取る一方、別の処理経路ではRCUの猶予期間を待たずにエントリを解放できてしまうのです。

このギャップにより、メモリが解放された後もカーネルがそのオブジェクトを使い続けてしまう可能性がある、競合のウィンドウが生まれます。悪用に成功すれば、ローカルの非特権ユーザーにroot権限を与えることができますが、悪用には非特権ユーザー名前空間と、それを支える2つのカーネルオプションが必要です。検証はCentOS Stream 9のデスクトップ環境を対象に行われました。

Linuxカーネルの脆弱性についてはこちらも参照: CrackArmorの脆弱性、Linuxシステムを権限昇格の危険にさらす

Jia Jie氏は、バグの特定、クラッシュ実証コードの作成、そして競合状態を確実に発生させるための信頼性向上にAIを活用しました。さらに、最適化によって条件を発生させるまでの所要時間は、15分以上からおよそ5秒にまで短縮されたということです。

この成果は、AIを用いてオープンソースプロジェクトに潜む脆弱性を洗い出した、以前のGoogle OSS-Fuzzの取り組みに続くものです。

コンテストでの機会を逃す一方、カーネルに関するさらなる発見も

今回のエクスプロイトは、TyphoonPwn 2026のLinuxローカル権限昇格部門向けに用意されたもので、同部門では70,000ドル、35,000ドル、17,500ドルの賞金が用意されていました。Jia Jie氏は11人中8番目の順位でしたが、同部門は3名の受賞者が決まった時点で締め切られたため、同氏のエントリーが実演されることはありませんでした。

AIシステムであるKyleBotは、TyphoonPwn 2026の2日前に、独自に同一のバグを報告していました。Jia Jie氏によると、この欠陥は2〜3年前から存在していたとのことで、同氏はこれについて、AIによってゼロデイの調査がまるでnデイの解析であるかのような様相を呈しつつある証拠だと述べています。

同氏はさらに、perf eventsサブシステムにおける悪用可能な2件の脆弱性も報告しています。うち1件にはCVE-2026-64300が割り当てられました。これらの問題は、パフォーマンスモニタリングの設定が緩いIntelのベアメタルシステム上で悪用可能であり、Debianベースのディストリビューションではなく、RHELベースおよびArchベースのシステムに影響するもので、主にデスクトップ版Linuxに関連する内容でした。

Jia Jie氏は、AIによってバグハンティングは加速した一方、依然として死角や推論の誤りが見られたと述べています。同氏は、自動化システムが見逃す脆弱性を見つけ出すためには、サブシステムに関する詳細な知識が今なお重要であると結論づけています。

CVE-2026-53264についてはすでに上流(アップストリーム)でパッチが適用されています。この修正では、該当オブジェクトの解放をRCUの猶予期間が経過した後まで遅らせることで、解放済みメモリ使用のウィンドウを解消しています。Linuxのユーザーおよび管理者は、各ディストリビューションのセキュリティアップデート提供チャネルを通じて、修正済みカーネルを入手することが推奨されます。