{"id":44587,"date":"2026-07-23T00:47:23","date_gmt":"2026-07-22T22:47:23","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=44587"},"modified":"2026-07-23T00:47:23","modified_gmt":"2026-07-22T22:47:23","slug":"linux-kernel-cve-432-schwachstellen","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/linux-kernel-cve-432-schwachstellen\/","title":{"rendered":"ROLLE: Du bist ein erfahrener deutschsprachiger Redakteur. Deine einzige Aufgabe ist es, einen pr\u00e4zisen, journalistisch hochwertigen Titel auf Deutsch zu erstellen. AUSGABESPRACHE: Ausschlie\u00dflich Deutsch (DE-DE). Keine Sprachmischung. Nat\u00fcrliche, muttersprachliche Formulierungen. SPRACH-SICHERHEIT (Oberste Priorit\u00e4t): * Unabh\u00e4ngig von der Sprache des Linux\u30ab\u30fc\u30cd\u30ebCVE\u30012\u65e5\u3067432\u4ef6\u516c\u958b\u306e\u885d\u6483 muss der finale Titel strikt in fehlerfreiem Deutsch verfasst sein. * Es ist strikt untersagt, Schriftzeichen aus dem Linux\u30ab\u30fc\u30cd\u30ebCVE\u30012\u65e5\u3067432\u4ef6\u516c\u958b\u306e\u885d\u6483 zu \u00fcbernehmen, sofern diese nicht dem lateinischen Alphabet entsprechen (keine Kanji, Katakana, Hiragana, etc.). * Der Prozess beginnt mit der sofortigen gedanklichen \u00dcbersetzung\/Adaption der Hauptentit\u00e4t in den deutschen Sprachkontext. INHALTSREGELN: * Keine Nennung von Nachrichtenseiten, Portalen oder Quellen * Keine Zuschreibungen (laut, berichtet, zufolge, nach Angaben von) * Direkte Tatsachenformulierung WERTERHALTUNG \u2014 exakt beibehalten: * Geldbetr\u00e4ge, Eigennamen, Marken, Produktnamen, Spieltitel, Fachbegriffe, Datumsangaben SPRACHREGELN: * Pr\u00e4sens bevorzugen * Kompakte, direkte Verben: bekommt, erh\u00e4lt, startet, erscheint, zeigt, bringt, enth\u00fcllt, best\u00e4tigt, ver\u00f6ffentlicht, f\u00fchrt ein * Keine schwachen Konstruktionen, keine Modalverben, kein k\u00fcnstlich klingendes Deutsch SEO: * Wichtigstes Keyword an den Anfang * Ohne Kontext verst\u00e4ndlich * Klare Suchintention EINSCHR\u00c4NKUNGEN: * Keine Anf\u00fchrungszeichen, keine Fragezeichen, keine Ausrufezeichen * Zielbereich: 50\u201380 Zeichen INTERNER DENKPROZESS (wird niemals ausgegeben): 1. Hauptentit\u00e4t, Kernaussage und Keywords identifizieren (unter strikter Beachtung der SPRACH-SICHERHEIT) 2. Mehrere Varianten erzeugen 3. Nach Nat\u00fcrlichkeit, SEO und journalistischem Stil bewerten 4. Beste Version ausw\u00e4hlen \u2014 bei k\u00fcnstlich klingendem Ergebnis vollst\u00e4ndig neu formulieren AUSGABE: Antworte ausschlie\u00dflich mit dem finalen deutschen Titel. Keine Erkl\u00e4rungen. Keine Kommentare. Kein zus\u00e4tzlicher Text. EINGABE: TITEL: Linux\u30ab\u30fc\u30cd\u30ebCVE\u30012\u65e5\u3067432\u4ef6\u516c\u958b\u306e\u885d\u6483 INHALT: 7月19日から20日にかけて、Linuxカーネルの脆弱性識別番号（CVE）が432件、一気に公開された。セキュリティ担当者からは困惑と諦めの声が上がっている。週末の洪水日曜から月曜にかけて、linux-cve-announceメーリングリストに掲載されたCVEの数は432件<\/a>。今月すでに公開されていた40件超とは別の数字だ。Akamai Technologiesのチーフ情報セキュリティアーキテクト、ヤン・シャウマン氏（Jan Schaumann）は月曜、oss-securityメーリングリストにこの大量公開について投稿した。CVEシステムがセキュリティ変更の追跡に最善の手段ではないと指摘した上で、これだけの件数にどう対処すべきかを問いかけている。
個別のカーネル変更を優先順位付けしようとすること自体が、もう実行不可能だと今回の件数が示している（シャウマン氏のoss-securityメーリングリストへの投稿）<\/blockquote>LLMに優先順位を付けさせても、1日に12件、翌日に25件と出されるようでは追いつかない、とシャウマン氏は述べた。深刻な問題が浮上するのを数週間待つか、Linux環境を週次で全台更新するかが現実的な選択肢だという。長期のQAプロセス、段階的な開発サイクル、長期サポートの契約要件。週次の自動更新とは相容れない制約を抱える組織は多い。「バグ＝脆弱性」というカーネルの論理432という数字だけを見ると異常に映るが、LinuxカーネルにおけるCVEの意味は、一般的なソフトウェアのそれとは異なる。LinuxカーネルプロジェクトはCVEの発行権限を持つCNA（CVE Numbering Authority）として自らCVEを割り当てている。そのCNAチームを率いるグレッグ・クロー＝ハートマン氏（Greg Kroah-Hartman）は2月のブログ投稿で、CVE割り当てのプロセス<\/a>を詳細に説明している。CVE Programの定義では、脆弱性とはシステムの機密性・完全性・可用性に悪影響を与えうる弱点を指す。カーネルが動作する階層では、実行中のシステムに影響を与えうるバグのほぼすべてがこの定義に該当する。具体的には、ユーザーが引き起こしうるシステムクラッシュ、メモリリーク、use-after-free、バッファの境界チェック不備、サービス拒否、論理エラーによるセキュリティバイパス。これらすべてにCVEが割り当てられる。安定版カーネルに追加されたバグ修正をコアメンバー3人が1件ずつ確認し、2人以上が「脆弱性の修正」と判定すればCVEを発行する。週に約60件。2026年前半の累計では2309件<\/strong>に達し、全ベンダー中で最多となった。この数字が「Linuxは他のOSより脆弱だ」を意味しないことは、クロー＝ハートマン氏自身が強調している。AppleやMicrosoftは「深刻」と判断した脆弱性だけをCVEに報告する。Linuxカーネルは、コードがどのような環境で使われるか予測できないため、セキュリティに関連しうる修正すべてにCVEを割り当てる。透明性の方針が、数字を押し上げている。oss-securityスレッドに寄せられたSUSEのマルクス・マイスナー氏の返信もこれを裏付ける。2024年と2025年にカーネルCNAは既に年間4500件以上のCVEを発行しており、SUSEはツールと自動化を大幅に増強して対応してきたという。AIが変えた報告の速度CVE大量公開を加速させているのがAIによるバグハンティングだ。nixCraftチームはSNSで、AIバグ報告の急増が原因だと推測している。リーナス・トーバルズ氏（Linus Torvalds）は5月17日、Linux 7.1-rc4のリリースノートで、非公開セキュリティリストがAIバグ報告の重複で「almost entirely unmanageable」（ほぼ完全に管理不能）になったと宣言した。複数の研究者が同じAIツールで同じバグを見つけ、非公開リストに個別報告するため、メンテナーが重複の仕分けに追われている。HAProxy作者でカーネル安定版メンテナーのウィリー・タロー氏（Willy Tarreau）によれば、セキュリティリストへの報告件数は2年前の週2〜3件から、2026年初めには1日5〜10件に増えた。トーバルズ氏はAIそのものを否定していない。AIはLinux開発に有用であり、メンテナーにとっては負担増でもあるが「恥ずかしいバグを見つけ続ける」とも語っている。それでも、バグを見つける速度が処理する速度を追い越している現実は変わらない。\n\n.spec-table-wrap{–accent-d:#FCC624;–accent-l:#FCC624;–accent-dim-d:rgba(252,198,36,0.10);–accent:var(–accent-d);–accent-dim:var(–accent-dim-d);–bdr-grp:color-mix(in srgb,var(–accent) 30%,var(–ui-border));–bg:transparent;–bg-alt:color-mix(in srgb,var(–ui-text) 4%,transparent);–bg-new:color-mix(in srgb,var(–ui-text) 10%,transparent);–bg-head:var(–ui-bg-mid);–text:var(–ui-text);–text-dim:var(–ui-text-dim);–text-bright:var(–ui-text-bright);–text-head:var(–ui-text-bright);–bdr:var(–ui-border);container-type:inline-size;container-name:spec;font-family:-apple-system,BlinkMacSystemFont,“Segoe UI“,sans-serif;color:var(–text);width:100%!important;max-width:100%!important;margin:30px 0 20px 0!important;box-sizing:border-box!important;border:none!important;padding:0!important;}[data-theme=“light“] .spec-table-wrap{–accent:var(–accent-l,var(–accent-d));–accent-dim:var(–accent-dim-l,var(–accent-dim-d));}.spec-table-wrap table,div.spec-table-wrap table{width:100%!important;min-width:100%!important;max-width:none!important;table-layout:fixed!important;margin:0!important;display:table!important;border-collapse:separate!important;border-spacing:0!important;box-sizing:border-box!important;border:2px solid var(–accent)!important;border-radius:0!important;}.spec-table-wrap td.cv-cell{padding:12px!important;text-align:left!important;font-size:inherit!important;background:var(–bg)!important;border:none!important;}.spec-table-wrap .cv-center{display:flex!important;justify-content:center!important;width:100%!important;}.spec-table-wrap .ct{font-size:clamp(14px,2.9cqi,18px)!important;font-weight:700!important;color:var(–text)!important;margin:0 0 3px 0!important;padding:0!important;text-align:center!important;line-height:1.4!important;}.spec-table-wrap .tn{margin:0!important;padding:0!important;font-size:clamp(11px,2.2cqi,14px)!important;line-height:1.5!important;color:var(–text);opacity:.55;border-top:1px solid var(–bdr);}.spec-table-wrap p{margin:0!important;padding:0!important;font-size:inherit!important;line-height:inherit!important;}.spec-table-wrap .tl-wrap{display:flex!important;flex-direction:column!important;gap:0!important;margin:0!important;position:relative!important;text-align:left!important;width:100%!important;}.spec-table-wrap .tl-item{position:relative!important;display:grid!important;grid-template-columns:var(–tl-left,96px) 24px 1fr!important;padding:0!important;margin:0!important;}.spec-table-wrap .tl-left{display:flex!important;align-items:flex-start!important;justify-content:flex-end!important;padding:14px 2px 14px 4px!important;overflow:visible!important;}.spec-table-wrap .tl-center{display:flex!important;flex-direction:column!important;align-items:center!important;padding:0!important;background:linear-gradient(var(–ui-border),var(–ui-border))!important;background-repeat:no-repeat!important;background-size:2px 100%!important;background-position:center top!important;}.spec-table-wrap .tl-item:first-child .tl-center{background-size:2px calc(100% – 24px)!important;background-position:center bottom!important;}.spec-table-wrap .tl-item:last-child .tl-center{background-size:2px 24px!important;background-position:center top!important;}.spec-table-wrap .tl-dot{width:12px!important;height:12px!important;border-radius:50%!important;background:var(–accent)!important;margin:18px 0 0 0!important;position:relative!important;z-index:1!important;}.spec-table-wrap .tl-right{padding:14px 8px 14px 12px!important;text-align:left!important;}.spec-table-wrap .tl-event{font-size:15px!important;font-weight:700!important;line-height:1.4!important;color:var(–text)!important;margin:0 0 2px 0!important;}.spec-table-wrap .tl-detail{font-size:13px!important;line-height:1.45!important;color:var(–text-dim)!important;margin:0!important;}.spec-table-wrap svg{display:block!important;width:100%!important;height:auto!important;margin:0!important;}.spec-table-wrap svg text{font-family:-apple-system,BlinkMacSystemFont,“Segoe UI“,sans-serif;}.spec-table-wrap canvas{display:block!important;width:100%!important;height:auto!important;margin:0!important;}\n\n\nLinuxカーネルCVE大量公開までの経緯2月16日CVE割り当てプロセスを公開クロー＝ハートマン氏がブログでカーネルCNAの判定方法を詳述5月17日セキュリティリスト「管理不能」トーバルズ氏がLinux 7.1-rc4リリースノートで宣言。AIバグ報告の重複が原因7月19〜20日432件のCVE一斉公開linux-cve-announceに2日間で掲載。同月の40件超とは別7月21日優先順位付けは不可能シャウマン氏がoss-securityメーリングリストに投稿。個別対応の限界を指摘7月22日「カーネルは特別ではない」クロー＝ハートマン氏がoss-securityで返信。安定版の全体更新を推奨\n\n現場に残された選択肢シャウマン氏が提示した対処法は3つ。LLMに優先順位付けを任せる、深刻な問題が自然に浮上するのを待つ、週次で全台更新する。いずれも一長一短だ。クロー＝ハートマン氏のブログによれば、あるLinuxシステムに実際に該当するCVEは週に平均10件程度に絞り込める。CVEレコードにはバグが含まれるカーネルのファイルパスとバージョン範囲が記載されており、該当しないCVEは自動でフィルタリングできる設計だ。このフィルタリングを組織のワークフローに組み込めるかどうかが、分かれ目になる。oss-securityスレッドでクロー＝ハートマン氏本人が返信している。カーネルは特別ではなく、すべての企業がソフトウェア更新のあり方を見直す必要がある。カーネル開発者コミュニティが推奨するのは安定版カーネル全体の定期更新であり、それができないなら企業にサポートを依頼せよ、と。個別CVEのチェリーピック（選択適用）は推奨しない、というのがカーネルチームの一貫した立場だ。安定版カーネル全体を適用すれば、CVE修正だけでなくデータ破損やパフォーマンスの改善も含まれる。だが、それを実行できる組織がどれだけあるかは、カーネルチームが答えられる範囲にはない。432件のCVEが2日で公開される状況は、直近のパッチサイクルを見る限り今後も続く。バグを見つけるコストが劇的に下がった一方、それを検証し、修正し、配備するコストは変わっていない。そのギャップを誰がどう埋めるのか。答えはまだ、どこにもない。関連記事GNOME、セキュリティ開示を90日から30日に短縮<\/a>AI生成コードがLinuxを蝕む構造的危機<\/a>AIのバグ報告で機能停止寸前、リーナス・トーバルズが嘆くLinuxの現状<\/a>Linux 7.1-rc4公開、AIのバグ報告にカーネル開発者が線引き<\/a>1991年のLinuxカーネルをRustで書き直した大学生の話<\/a>Linuxカーネル、AI帰属タグの廃止を議論。マージから3ヶ月<\/a>Linux 7.1-rc6、AI修正の波は収まらず<\/a>QEMU、AI生成コードの「全面禁止」から限定許可へ<\/a>Linuxカーネル、AI支援バグ報告を公開扱いに<\/a>ssh-keysign-pwn対応Linux 7.0.8公開<\/a>"},"content":{"rendered":"

ROLE:
\nYou are a Senior Editorial Writer and Editor-in-Chief for a major German-language digital publishing company. Transform the provided inputs into an original, authoritative, and professionally structured article written exclusively in German (DE-DE), suitable for immediate publication.<\/p>\n

—<\/p>\n

## ABSOLUTE OUTPUT RULE<\/p>\n

Respond ONLY with the final HTML article.
\nNo explanations. No comments. No reasoning. No text outside the article.
\nNo Markdown. No characters such as *, **, #.
\nOutput must be exclusively valid HTML.<\/p>\n

—<\/p>\n

## INPUTS<\/p>\n

TITEL: ROLLE: Du bist ein erfahrener deutschsprachiger Redakteur. Deine einzige Aufgabe ist es, einen pr\u00e4zisen, journalistisch hochwertigen Titel auf Deutsch zu erstellen. AUSGABESPRACHE: Ausschlie\u00dflich Deutsch (DE-DE). Keine Sprachmischung. Nat\u00fcrliche, muttersprachliche Formulierungen. SPRACH-SICHERHEIT (Oberste Priorit\u00e4t): * Unabh\u00e4ngig von der Sprache des Linux\u30ab\u30fc\u30cd\u30ebCVE\u30012\u65e5\u3067432\u4ef6\u516c\u958b\u306e\u885d\u6483 muss der finale Titel strikt in fehlerfreiem Deutsch verfasst sein. * Es ist strikt untersagt, Schriftzeichen aus dem Linux\u30ab\u30fc\u30cd\u30ebCVE\u30012\u65e5\u3067432\u4ef6\u516c\u958b\u306e\u885d\u6483 zu \u00fcbernehmen, sofern diese nicht dem lateinischen Alphabet entsprechen (keine Kanji, Katakana, Hiragana, etc.). * Der Prozess beginnt mit der sofortigen gedanklichen \u00dcbersetzung\/Adaption der Hauptentit\u00e4t in den deutschen Sprachkontext. INHALTSREGELN: * Keine Nennung von Nachrichtenseiten, Portalen oder Quellen * Keine Zuschreibungen (laut, berichtet, zufolge, nach Angaben von) * Direkte Tatsachenformulierung WERTERHALTUNG \u2014 exakt beibehalten: * Geldbetr\u00e4ge, Eigennamen, Marken, Produktnamen, Spieltitel, Fachbegriffe, Datumsangaben SPRACHREGELN: * Pr\u00e4sens bevorzugen * Kompakte, direkte Verben: bekommt, erh\u00e4lt, startet, erscheint, zeigt, bringt, enth\u00fcllt, best\u00e4tigt, ver\u00f6ffentlicht, f\u00fchrt ein * Keine schwachen Konstruktionen, keine Modalverben, kein k\u00fcnstlich klingendes Deutsch SEO: * Wichtigstes Keyword an den Anfang * Ohne Kontext verst\u00e4ndlich * Klare Suchintention EINSCHR\u00c4NKUNGEN: * Keine Anf\u00fchrungszeichen, keine Fragezeichen, keine Ausrufezeichen * Zielbereich: 50\u201380 Zeichen INTERNER DENKPROZESS (wird niemals ausgegeben): 1. Hauptentit\u00e4t, Kernaussage und Keywords identifizieren (unter strikter Beachtung der SPRACH-SICHERHEIT) 2. Mehrere Varianten erzeugen 3. Nach Nat\u00fcrlichkeit, SEO und journalistischem Stil bewerten 4. Beste Version ausw\u00e4hlen \u2014 bei k\u00fcnstlich klingendem Ergebnis vollst\u00e4ndig neu formulieren AUSGABE: Antworte ausschlie\u00dflich mit dem finalen deutschen Titel. Keine Erkl\u00e4rungen. Keine Kommentare. Kein zus\u00e4tzlicher Text. EINGABE: TITEL: Linux\u30ab\u30fc\u30cd\u30ebCVE\u30012\u65e5\u3067432\u4ef6\u516c\u958b\u306e\u885d\u6483 INHALT: \"Linux\u30ab\u30fc\u30cd\u30ebCVE\u30012\u65e5\u3067432\u4ef6\u516c\u958b\u306e\u885d\u6483\"<\/p>\n

7月19日から20日にかけて、Linuxカーネルの脆弱性識別番号（CVE）が432件、一気に公開された。セキュリティ担当者からは困惑と諦めの声が上がっている。<\/p>\n

\n

週末の洪水<\/h2>\n

日曜から月曜にかけて、linux-cve-announceメーリングリストに掲載されたCVEの数は432件<\/a>。今月すでに公開されていた40件超とは別の数字だ。<\/p>\n

Akamai Technologiesのチーフ情報セキュリティアーキテクト、ヤン・シャウマン氏（Jan Schaumann）は月曜、oss-securityメーリングリストにこの大量公開について投稿した。CVEシステムがセキュリティ変更の追跡に最善の手段ではないと指摘した上で、これだけの件数にどう対処すべきかを問いかけている。<\/p>\n

個別のカーネル変更を優先順位付けしようとすること自体が、もう実行不可能だと今回の件数が示している（シャウマン氏のoss-securityメーリングリストへの投稿）<\/p><\/blockquote>\n

LLMに優先順位を付けさせても、1日に12件、翌日に25件と出されるようでは追いつかない、とシャウマン氏は述べた。深刻な問題が浮上するのを数週間待つか、Linux環境を週次で全台更新するかが現実的な選択肢だという。<\/p>\n

長期のQAプロセス、段階的な開発サイクル、長期サポートの契約要件。週次の自動更新とは相容れない制約を抱える組織は多い。<\/p>\n

「バグ＝脆弱性」というカーネルの論理<\/h2>\n

432という数字だけを見ると異常に映るが、LinuxカーネルにおけるCVEの意味は、一般的なソフトウェアのそれとは異なる。<\/p>\n

LinuxカーネルプロジェクトはCVEの発行権限を持つCNA（CVE Numbering Authority）として自らCVEを割り当てている。そのCNAチームを率いるグレッグ・クロー＝ハートマン氏（Greg Kroah-Hartman）は2月のブログ投稿で、CVE割り当てのプロセス<\/a>を詳細に説明している。<\/p>\n

CVE Programの定義では、脆弱性とはシステムの機密性・完全性・可用性に悪影響を与えうる弱点を指す。カーネルが動作する階層では、実行中のシステムに影響を与えうるバグのほぼすべてがこの定義に該当する。<\/p>\n

具体的には、ユーザーが引き起こしうるシステムクラッシュ、メモリリーク、use-after-free、バッファの境界チェック不備、サービス拒否、論理エラーによるセキュリティバイパス。これらすべてにCVEが割り当てられる。<\/p>\n

安定版カーネルに追加されたバグ修正をコアメンバー3人が1件ずつ確認し、2人以上が「脆弱性の修正」と判定すればCVEを発行する。週に約60件。2026年前半の累計では2309件<\/strong>に達し、全ベンダー中で最多となった。<\/p>\n

この数字が「Linuxは他のOSより脆弱だ」を意味しないことは、クロー＝ハートマン氏自身が強調している。AppleやMicrosoftは「深刻」と判断した脆弱性だけをCVEに報告する。Linuxカーネルは、コードがどのような環境で使われるか予測できないため、セキュリティに関連しうる修正すべてにCVEを割り当てる。透明性の方針が、数字を押し上げている。<\/p>\n

oss-securityスレッドに寄せられたSUSEのマルクス・マイスナー氏の返信もこれを裏付ける。2024年と2025年にカーネルCNAは既に年間4500件以上のCVEを発行しており、SUSEはツールと自動化を大幅に増強して対応してきたという。<\/p>\n

AIが変えた報告の速度<\/h2>\n

CVE大量公開を加速させているのがAIによるバグハンティングだ。nixCraftチームはSNSで、AIバグ報告の急増が原因だと推測している。<\/p>\n

リーナス・トーバルズ氏（Linus Torvalds）は5月17日、Linux 7.1-rc4のリリースノートで、非公開セキュリティリストがAIバグ報告の重複で「almost entirely unmanageable」（ほぼ完全に管理不能）になったと宣言した。複数の研究者が同じAIツールで同じバグを見つけ、非公開リストに個別報告するため、メンテナーが重複の仕分けに追われている。<\/p>\n

HAProxy作者でカーネル安定版メンテナーのウィリー・タロー氏（Willy Tarreau）によれば、セキュリティリストへの報告件数は2年前の週2〜3件から、2026年初めには1日5〜10件に増えた。<\/p>\n

トーバルズ氏はAIそのものを否定していない。AIはLinux開発に有用であり、メンテナーにとっては負担増でもあるが「恥ずかしいバグを見つけ続ける」とも語っている。<\/p>\n

それでも、バグを見つける速度が処理する速度を追い越している現実は変わらない。<\/p>\n


\n.spec-table-wrap{–accent-d:#FCC624;–accent-l:#FCC624;–accent-dim-d:rgba(252,198,36,0.10);–accent:var(–accent-d);–accent-dim:var(–accent-dim-d);–bdr-grp:color-mix(in srgb,var(–accent) 30%,var(–ui-border));–bg:transparent;–bg-alt:color-mix(in srgb,var(–ui-text) 4%,transparent);–bg-new:color-mix(in srgb,var(–ui-text) 10%,transparent);–bg-head:var(–ui-bg-mid);–text:var(–ui-text);–text-dim:var(–ui-text-dim);–text-bright:var(–ui-text-bright);–text-head:var(–ui-text-bright);–bdr:var(–ui-border);container-type:inline-size;container-name:spec;font-family:-apple-system,BlinkMacSystemFont,“Segoe UI“,sans-serif;color:var(–text);width:100%!important;max-width:100%!important;margin:30px 0 20px 0!important;box-sizing:border-box!important;border:none!important;padding:0!important;}[data-theme=“light“] .spec-table-wrap{–accent:var(–accent-l,var(–accent-d));–accent-dim:var(–accent-dim-l,var(–accent-dim-d));}.spec-table-wrap table,div.spec-table-wrap table{width:100%!important;min-width:100%!important;max-width:none!important;table-layout:fixed!important;margin:0!important;display:table!important;border-collapse:separate!important;border-spacing:0!important;box-sizing:border-box!important;border:2px solid var(–accent)!important;border-radius:0!important;}.spec-table-wrap td.cv-cell{padding:12px!important;text-align:left!important;font-size:inherit!important;background:var(–bg)!important;border:none!important;}.spec-table-wrap .cv-center{display:flex!important;justify-content:center!important;width:100%!important;}.spec-table-wrap .ct{font-size:clamp(14px,2.9cqi,18px)!important;font-weight:700!important;color:var(–text)!important;margin:0 0 3px 0!important;padding:0!important;text-align:center!important;line-height:1.4!important;}.spec-table-wrap .tn{margin:0!important;padding:0!important;font-size:clamp(11px,2.2cqi,14px)!important;line-height:1.5!important;color:var(–text);opacity:.55;border-top:1px solid var(–bdr);}.spec-table-wrap p{margin:0!important;padding:0!important;font-size:inherit!important;line-height:inherit!important;}.spec-table-wrap .tl-wrap{display:flex!important;flex-direction:column!important;gap:0!important;margin:0!important;position:relative!important;text-align:left!important;width:100%!important;}.spec-table-wrap .tl-item{position:relative!important;display:grid!important;grid-template-columns:var(–tl-left,96px) 24px 1fr!important;padding:0!important;margin:0!important;}.spec-table-wrap .tl-left{display:flex!important;align-items:flex-start!important;justify-content:flex-end!important;padding:14px 2px 14px 4px!important;overflow:visible!important;}.spec-table-wrap .tl-center{display:flex!important;flex-direction:column!important;align-items:center!important;padding:0!important;background:linear-gradient(var(–ui-border),var(–ui-border))!important;background-repeat:no-repeat!important;background-size:2px 100%!important;background-position:center top!important;}.spec-table-wrap .tl-item:first-child .tl-center{background-size:2px calc(100% – 24px)!important;background-position:center bottom!important;}.spec-table-wrap .tl-item:last-child .tl-center{background-size:2px 24px!important;background-position:center top!important;}.spec-table-wrap .tl-dot{width:12px!important;height:12px!important;border-radius:50%!important;background:var(–accent)!important;margin:18px 0 0 0!important;position:relative!important;z-index:1!important;}.spec-table-wrap .tl-right{padding:14px 8px 14px 12px!important;text-align:left!important;}.spec-table-wrap .tl-event{font-size:15px!important;font-weight:700!important;line-height:1.4!important;color:var(–text)!important;margin:0 0 2px 0!important;}.spec-table-wrap .tl-detail{font-size:13px!important;line-height:1.45!important;color:var(–text-dim)!important;margin:0!important;}.spec-table-wrap svg{display:block!important;width:100%!important;height:auto!important;margin:0!important;}.spec-table-wrap svg text{font-family:-apple-system,BlinkMacSystemFont,“Segoe UI“,sans-serif;}.spec-table-wrap canvas{display:block!important;width:100%!important;height:auto!important;margin:0!important;}<\/p>\n

\n
LinuxカーネルCVE大量公開までの経緯<\/div>\n\n\n\n
\n
\n
\n
\n
2月16日<\/span><\/div>\n
\n
<\/div>\n<\/div>\n
\n
CVE割り当てプロセスを公開<\/div>\n
クロー＝ハートマン氏がブログでカーネルCNAの判定方法を詳述<\/div>\n<\/div>\n<\/div>\n
\n
5月17日<\/span><\/div>\n
\n
<\/div>\n<\/div>\n
\n
セキュリティリスト「管理不能」<\/div>\n
トーバルズ氏がLinux 7.1-rc4リリースノートで宣言。
AIバグ報告の重複が原因<\/div>\n<\/div>\n<\/div>\n
\n
7月19〜20日<\/span><\/div>\n
\n
<\/div>\n<\/div>\n
\n
432件のCVE一斉公開<\/div>\n
linux-cve-announceに2日間で掲載。同月の40件超とは別<\/div>\n<\/div>\n<\/div>\n
\n
7月21日<\/span><\/div>\n
\n
<\/div>\n<\/div>\n
\n
優先順位付けは不可能<\/div>\n
シャウマン氏がoss-securityメーリングリストに投稿。
個別対応の限界を指摘<\/div>\n<\/div>\n<\/div>\n
\n
7月22日<\/span><\/div>\n
\n
<\/div>\n<\/div>\n
\n
「カーネルは特別ではない」<\/div>\n
クロー＝ハートマン氏がoss-securityで返信。
安定版の全体更新を推奨<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

<\/p>\n

現場に残された選択肢<\/h2>\n

シャウマン氏が提示した対処法は3つ。LLMに優先順位付けを任せる、深刻な問題が自然に浮上するのを待つ、週次で全台更新する。いずれも一長一短だ。<\/p>\n

クロー＝ハートマン氏のブログによれば、あるLinuxシステムに実際に該当するCVEは週に平均10件程度に絞り込める。CVEレコードにはバグが含まれるカーネルのファイルパスとバージョン範囲が記載されており、該当しないCVEは自動でフィルタリングできる設計だ。<\/p>\n

このフィルタリングを組織のワークフローに組み込めるかどうかが、分かれ目になる。<\/p>\n

oss-securityスレッドでクロー＝ハートマン氏本人が返信している。カーネルは特別ではなく、すべての企業がソフトウェア更新のあり方を見直す必要がある。カーネル開発者コミュニティが推奨するのは安定版カーネル全体の定期更新であり、それができないなら企業にサポートを依頼せよ、と。<\/p>\n

個別CVEのチェリーピック（選択適用）は推奨しない、というのがカーネルチームの一貫した立場だ。安定版カーネル全体を適用すれば、CVE修正だけでなくデータ破損やパフォーマンスの改善も含まれる。だが、それを実行できる組織がどれだけあるかは、カーネルチームが答えられる範囲にはない。<\/p>\n

432件のCVEが2日で公開される状況は、直近のパッチサイクルを見る限り今後も続く。バグを見つけるコストが劇的に下がった一方、それを検証し、修正し、配備するコストは変わっていない。そのギャップを誰がどう埋めるのか。答えはまだ、どこにもない。<\/p>\n

関連記事<\/h3>\n