はじめに

「root権限を5秒で握られる」バグと、「16年間誰も気づかなかった」バグ。同じ日にこの2つが公開されると聞くと、なんだか背筋が伸びますよね。今日はそんな2026年7月9日前後のLinux/OSSニュースを5本、動画とあわせてまとめます。

登場するのはカーネルの深いところに15年・16年潜んでいた脆弱性2本、EOLを迎えたUbuntu、Ubuntuを離れるハードウェアメーカー、そして明るい話題としてProtonのアップデートです。長生きするコードほど死角も長生きする、というのが今日の縦串。読み終わる頃には、たぶん自分の環境のカーネルバージョンが気になっているはずです。

1. GhostLock（CVE-2026-43499）――15年潜伏のカーネルLPE、成功率97%のPoCが公開済み

まず一発目は今日一番のインパクトです。Linuxカーネルの rtmutex のプライオリティ継承コードにあったスタックuse-after-free脆弱性「GhostLock」（CVE-2026-43499）が公開されました。バグの起源は2011年（Linux 2.6.39）のコミットまでさかのぼり、実に15年間見過ごされていたことになります。

原因は remove_waiter() 関数の後処理ミスです。本来は「自分自身がブロックされているスレッド」だけを扱う想定だったのに、別スレッドの代理として呼ばれるようになった際、誤って呼び出し元スレッドのポインタをクリアしてしまう。結果として、すでに解放されたカーネルスタックを指すダングリングポインタが残ってしまう、という話です。

厄介なのは条件の低さです。特権もケーパビリティも不要で、CONFIG_FUTEX_PI=y（多くのディストロでデフォルト有効）さえあれば通常のスレッド操作だけで到達できます。発見したNebula Securityの検証では成功率97%、root権限の奪取に加えてコンテナ脱出まで約5秒で完了するとのことで、この数字を見た瞬間に思わず声が出ました。GoogleのkernelCTFで9万2,337ドルの報奨金が出ているのも、この研究の精巧さを物語っています。

正直に言うと、この記事を書くために自分の検証用サーバーで uname -r を叩いてみたら、見事に対象範囲のカーネルのままでした。セキュリティ記事を書いている場合じゃなかった、というオチです。Ubuntu 24.04/22.04/20.04 LTSは2026年7月初旬時点で未修正または対応中とのこと。PoCはすでに公開済みなので、悪用まで時間の問題という見方が専門家の間で強まっています。以下のコマンドでカーネルを更新し、CONFIG_FUTEX_PI が有効かどうかも確認しておきましょう（他人事だと思わず、まず自分の手元から）。

1
2
3

sudo apt update && sudo apt upgrade linux-image-generic
sudo reboot
grep CONFIG_FUTEX_PI /boot/config-$(uname -r)

2. Ubuntu 25.10「Questing Quokka」本日EOL――26.04 LTSへの移行が急務

Ubuntu 25.10「Questing Quokka」が本日2026年7月9日でサポート終了を迎えました。2025年10月のリリースからわずか9ヶ月、Ubuntuの暫定リリース恒例の短命っぷりです。EOL後はセキュリティパッチもサポートも打ち切られるため、次のLTSであるUbuntu 26.04「Resolute Raccoon」への移行が急務になります。

タイミングが妙に皮肉で、まさに本日GhostLockのような重大なカーネル脆弱性が公開されたわけですが、Ubuntu 25.10にはもうパッチが届きません。期限切れの保険で交通事故に遭うような話が、偶然にも同じ日に発生しているわけです。移行は do-release-upgrade コマンドで直接可能なので、該当する方は今日中に済ませてしまいましょう。

1
2
3

sudo apt update && sudo apt full-upgrade -y
sudo apt install update-manager-core
sudo do-release-upgrade

3. TUXEDO OS、UbuntuからDebian Testingへ――Snapと「AIの不透明さ」への反発

ここで少し小休止の話題です。ドイツのLinuxハードウェアメーカーTUXEDO Computersが、自社ディストリビューション「TUXEDO OS」のベースをUbuntu LTSからDebian Testingへ切り替えると発表しました。理由はSnapパッケージへのCanonicalの積極推進と、Ubuntu 26.04で組み込まれる予定のAIアシスタント機能の「実装内容が十分に透明化されていない」ことへの反発です。

新方式は「Continuous Debian」と呼ばれる準ローリングリリースで、ファイルシステムもEXT4からBtrfsへ変更し、SUSE製のSnapperを統合してアップデート失敗時にワンクリックでロールバックできるようにするとのこと。この手の「一枚岩をやめて安全網を厚くする」判断、正直かなり好きです。プリインストール製品を出荷しているメーカーが自社OSのベースごと乗り換えるというのは、Ubuntuエコシステムへの一種の信任投票とも言えます。既存ユーザーへのインプレースアップグレードは提供されないため、乗り換えたい人はクリーンインストールが必要です。皆さんならSnapとAI、どちらがより気になりますか。

4. Proton 11.0-1リリース――Wine 11.0ベースで19タイトル新規対応、バイオハザード初代がついにLinuxへ

ここまで重い話が続いたので、今日唯一の明るいニュースを挟みます。ValveがSteam Play互換レイヤー「Proton 11.0-1」を安定版としてリリースしました。上流のWine 11.0にリベースしたことで19タイトルの新規対応と、EA Desktopの更新で壊れていたEA系ゲームの大規模な修正が入っています。

正直に言うと、一番刺さったのはバイオハザード（1996年版）とバイオハザード2（1998年版）が今回初めて正式にLinux対応した、というくだりです。往年のファンとしては地味に感動しました（当時Windows機を買った理由の半分くらいがこのシリーズだった気がします）。EA関連では、EA Desktopアップデート後に起動しなくなっていたタイトル群が復旧し、Steam Overlayも正常に機能するようになったとのことです。ARM64EC対応の仕込みも進んでおり、「次のSteam MachineはARMで来るのでは」という憶測も呼んでいます。適用はSteamの互換性設定からProton 11.0-1を選ぶだけです。

5. Januscape（CVE-2026-53359）――16年物KVM脆弱性、修正はわずか1行

締めは今日最大級のインパクト、Linux KVMのシャドウMMUに潜んでいたuse-after-free脆弱性「Januscape」（CVE-2026-53359）です。起源は2010年、Linux 2.6.36のコミットまでさかのぼり、実に16年間見過ごされていました。

原因は kvm_mmu_get_child_sp() 関数がシャドウページの再利用可否を判断する際、gfn（ゲスト物理アドレスの識別子）だけを見て、ページの種類を示す role.word を確認していなかったことです。部屋番号だけで合鍵を渡していた管理人のような話で、gfnが同じでも棟（role.word）が違えば別の鍵のはずなのに、16年間ずっと部屋番号だけで開錠していたことになります。ネスト仮想化が有効なKVMホストで、ゲストVM内のroot権限からホストのカーネルパニックを誘発するPoCがすでに公開済みです。発見者のHyunwoo Kim氏は、非公開の完全なコード実行exploitの存在も主張しているとのことですが、こちらは未検証の情報として受け止めておくのが良さそうです。

なにより衝撃的なのは、これほど長期に潜伏したバグの修正パッチがわずか1行だったという事実です。role.word のチェックを1行加えるだけで16年分の穴が塞がりました。1行差分でニュースになるバグ、なかなかお目にかかれるものじゃないですよね。マルチテナントのパブリッククラウドや、ネスト仮想化を許可しているCI/CD環境は特に影響が大きいので、該当する場合は速やかな更新か、当面の回避策としてネスト仮想化の無効化を検討してください。

1
2

sudo apt update && sudo apt upgrade linux-image-$(uname -r)
echo 0 > /sys/module/kvm_intel/parameters/nested

まとめ

今日の5本を貫いていたのは「長寿命コードに潜む死角」というテーマでした。GhostLockもJanuscapeも、コードが書かれた瞬間にバグが仕込まれ、何年も気づかれないまま「いつか見つかる」のを静かに待っていたわけです。一方でTUXEDO OSやProtonのように、コミュニティは前向きに動き続けてもいます。皆さんの環境、7月初旬時点でパッチは済んでいますか。まずは手元のカーネルバージョンを確認するところから、今日始めてみてください。