GMOサイバーセキュリティ byイエラエ株式会社は7月28日、同社所属のホワイトハッカーによる脆弱性調査・研究チーム「GMOイエラエ」がLinuxカーネルに存在する脆弱性「CVE-2026-43456」の詳細情報を7月3日に公開したと発表した。
「GMOイエラエ」は、Googleが実施するバグバウンティプログラム「kernelCTF」で同脆弱性について報告し、8万米ドルを超える報奨金を獲得している。
同脆弱性はLinuxカーネルのネットワーク機能「bonding」に存在するtype confusion（型の混同）で、根本原因となるコードは2007年に取り込まれて以降、約19年間にわたり修正されることなく存在しており、影響範囲はLinux 2.6.24から6.12.77までと広範囲に及ぶ。
同脆弱性は、能動的に狙うことで初めて発現する、極めて限定的な条件下でのみ顕在化する性質のバグで、通常利用の中で発見される可能性が著しく低いため、これまで見過ごされてきたという。
「GMOイエラエ」では、カーネルファジングツール「syzkaller」が偶然検知したクラッシュを、AIも活用しながら詳細に解析し、発見に至った。実際に悪用できるか検証したところ、攻撃の成功率は99%以上、完了まで1秒未満と短時間でほぼ確実に悪用できることが判明しており、発見の難しさと対照的に悪用の容易さが際立つ脆弱性という。
同社では、AI活用の取り組みをサイバーセキュリティに特化したAI基盤「AIホワイトハッカー byGMO」として体系化している。
同脆弱性の発見者である同社 上席執行役員CTO兼高度解析部部長の小池悠生氏は「近年、Linuxカーネルに対しては、この脆弱性の他にも、DirtyFlagやCopyFailといった脆弱性が発見されて世間を騒がせており、一層の対策が必要になっていることは間違いありません。今後も弊社は卓越したホワイトハッカーの集団として、AIも最大限活用することで、攻撃者よりも早く未知の脆弱性を発見し、修正に貢献できるよう、尽力して参ります。」とコメントしている。
