セキュリティ警告：TurnKey サーバーの確認と再起動を

Linux カーネルに深刻な脆弱性 CVE-2026-98432 が見つかりました。攻撃者がパスワードやユーザーの操作なしに、ネットワーク経由で対象サーバーを乗っ取る可能性があります。

TurnKey Linux 18 と 19 には修正が提供されています。TurnKey の自動セキュリティ更新ですでにインストールされている場合もあります。更新したカーネルは再起動で有効になります。 管理しているすべての TurnKey サーバーを、以下の手順で確認してください。

この脆弱性の影響

カーネルは OS の中核で、メモリー、ハードウェア、ネットワーク接続を管理します。

研究者は、ネットワーク経由で完全な管理者権限を取得する攻撃を実証しました。その権限があれば、データベースや認証情報の窃取、ファイルの改ざんや削除、マルウェアの導入、ほかのシステムへの攻撃が可能になります。また、クラッシュやメモリー内の情報漏えいも起こり得ます。AWS セキュリティ情報

実証された攻撃は Multipath TCP を使っていました。原因となる欠陥は TCP 処理に広く関係するため、影響を受けるすべてのサーバーを更新してください。Akamai の技術分析

実際に悪用されているのでしょうか

研究者は 10 月 27 日にリモートからの乗っ取り成功を報告しました。AWS は 11 月 6 日更新の情報で、悪用を観測していないと報告しています。リモートからサーバーを制御できる危険があるため、特にインターネットから到達できるサーバーは早急に更新してください。研究の公開情報、AWS の情報

1. 動作中のカーネルを確認する

サーバーのコンソールを開くか SSH で接続し、次を入力します。

uname -v

Debian の直後のバージョンを確認してください。表示例：

... Debian 6.12.116-1 (...)

動作中のカーネルがこの条件を満たしていれば、この脆弱性への修正が有効です。

TurnKey 18 で Debian の代替カーネル 6.12 を使用している場合は、6.12.113-1~deb12u1 または同系列のそれ以降が必要です。ほかのカーネルについては、ホスティング事業者やコミュニティフォーラムに出力の確認を依頼してください。バージョン情報の出典は Debian Security Tracker です。

Proxmox・LXC の利用者へ： コンテナはホストのカーネルを共有します。ホスト管理者に、ベンダーの手順に従ったホストの更新と再起動を依頼してください。

2. 動作中のカーネルが古ければ再起動する

TurnKey は標準でセキュリティ更新を自動インストールします。修正済みカーネルが再起動を待っている場合があります。

最近のバックアップを確認し、再起動中の短い停止時間を確保してください。root でログインして実行します。

reboot

SSH 接続が切断されます。サーバーの復帰後に再接続し、もう一度 uname -v を実行してください。上記の条件を満たしていれば修正は有効です。アプリケーションの動作も確認してください。

3. まだ古い場合はセキュリティ更新をインストールする

root で次を実行します。

turnkey-install-security-updates

更新が正常に完了するまで待ち、再起動します。

reboot

再接続し、uname -v で再確認してアプリケーションをテストしてください。

更新エラーが出る場合や古いカーネルで起動する場合は、サポートを求めてください。TurnKey のバージョン、uname -v の出力、エラーメッセージを添えてください。

TurnKey 17 以前は早急にアップグレードを

TurnKey 18 の基盤は Debian 12 で、長期セキュリティサポートは 2028 年 6 月まで続きます。TurnKey 19 は Debian 13 を使用しています。どちらにも今回の修正があります。

TurnKey 17 の基盤である Debian 11 の通常の長期サポートは 2026 年 8 月 31 日に終了しました。Debian 11 のセキュリティ更新を引き続き受けるには、別途延長サポートが必要です。古いインストールは、サポート中の現行 TurnKey リリースへできるだけ早く移行してください。Debian 12、Debian 11

OS とともにアプリケーションやプラグインも更新してください。独自の更新手順があるアプリケーションは、その説明に従ってください。

サーバーが侵害された場合

サーバーを隔離し、信頼できる現行の TurnKey イメージから再構築してください。 新しい環境にセキュリティ更新を適用し、信頼できる端末から漏えいしたパスワード、API キーなどの認証情報を変更してください。

TurnKey Backup and Migration（TKLBAM）を使うと再構築が容易になります。元の TurnKey システムから変更したデータ、設定、パッケージ選択をバックアップし、同じ TurnKey アプリケーションの新しいインストールへ復元できます。メジャーバージョン間の移行では、アプリケーションに応じた追加作業が必要になる場合があります。

侵害前のバックアップを選び、復元するファイルと設定を確認してください。侵害後のバックアップには攻撃者の変更が含まれる可能性があります。侵入時期が不明な場合は、復元前のデータ確認について支援を求めてください。

有料の TurnKey Hub プランをご利用の方は、サポートについてお問い合わせいただけます。Hub 内のサポート機能を使うか、Hub アカウントに登録したメールアドレスから support@turnkeylinux.org へご連絡ください。