GMOサイバーセキュリティ byイエラエ、19年間見過ごされたLinuxカーネルの脆弱性をホワイトハッカーの知見とAIで発見

Google「kernelCTF」にて8万米ドル超の報奨金を獲得

GMOインターネットグループ

2026年7月28日 11時30分

　GMOインターネットグループのGMOサイバーセキュリティ byイエラエ株式会社（代表取締役CEO：牧田誠　以下、GMOサイバーセキュリティ byイエラエ）(※1)に所属するホワイトハッカーによる脆弱性調査・研究チーム「GMOイエラエ」は、2026年7月3日、Linuxカーネルに存在する脆弱性「CVE-2026-43456」の詳細情報を公開しました。「GMOイエラエ」は本脆弱性の存在をGoogleが実施するバグバウンティプログラム「kernelCTF」にて報告し、8万米ドルを超える報奨金を獲得しました。

　本脆弱性は2007年に取り込まれたコードに起因し、約19年間にわたり修正されることなく存在していました。権限昇格(※2)の成功率は99%以上、実行時間は1秒未満と、ほぼ確実かつ短時間で権限昇格が成功してしまう危険度の高い脆弱性です。本脆弱性は、ホワイトハッカーが自らの知見と内部で活用してきたAIを適切に組み合わせることで発見されました。当社はこうしたAI活用の取り組みを、サイバーセキュリティに特化したAI基盤「AIホワイトハッカー byGMO」（2026年7月27日発表）として体系化しています。

　今回の成果は、AIと人の知見を組み合わせることで、従来見つけることが難しかった未知の脆弱性の発見につながる可能性を示すものです。

（※1）GMOサイバーセキュリティ byイエラエ株式会社はGMOインターネットグループ株式会社の連結会社です。

（※2）攻撃者が本来許されていないより高い権限を不正に獲得して操作範囲を広げる行為のこと。

【脆弱性の概要】

　本脆弱性はLinuxカーネルのネットワーク機能「bonding」に存在するtype confusion（型の混同）です。根本原因となるコードは2007年に取り込まれて以降、約19年間にわたり修正されることなく存在しており、影響範囲はLinux 2.6.24から6.12.77までと広範囲に及びます。

　本脆弱性は、能動的に狙うことで初めて発現する、極めて限定的な条件下でのみ顕在化する性質のバグであり、通常利用の中で発見される可能性が著しく低いため、これまで見過ごされてきました。カーネルファジングツール「syzkaller」(※3)が偶然検知したクラッシュを、AIも活用しながら詳細に解析し、発見に至りました。

　実際に悪用できるか検証すると、攻撃の成功率は99%以上、完了まで1秒未満と短時間でほぼ確実に悪用できることが判明しました。発見の難しさと対照的に悪用の容易さが際立つ脆弱性です。

（※3）ランダムに生成した入力をLinuxカーネルに大量に送り込み、クラッシュやバグを自動的に検出するテストツール。

■技術的な特徴

・脆弱性の種類：type confusion（型の混同）

・該当サブシステム：net/bonding

・影響範囲：Linux 2.6.24から6.12.77

・権限昇格の成功率：99%以上（実行時間1秒未満）

【対策について】

　本脆弱性は2026年3月に修正されており、主要なLinuxディストリビューションの最新バージョンでは修正が反映されていることが見込まれます。利用中の環境を最新バージョンへ更新することが最も有効な対策です。修正の適用が難しい環境においては、「bonding」機能を無効にする、または非特権ユーザーによるネットワーク名前空間の作成を制限するなどの緩和策により、本脆弱性の影響を回避できます。

　より詳細な悪用可能条件、影響範囲、対策については当社のブログをご確認ください。

https://gmo-cybersecurity.com/blog/19-year-old-linux-kernel-zero-day/

【脆弱性発見者のコメント】

上席執行役員CTO 兼高度解析部部長　小池悠生

　まずは、本脆弱性が修正され、発表できる状態にまで漕ぎつけられたことに改めて安堵しています。今回ホワイトハッカーの知見とAIを組み合わせることで、本脆弱性を発見しました。近年の特にOSSに対するフロンティアAIの知識には目を見張るものがあります。しかしながら、「AIのみで今回のような複雑な脆弱性が突き止められるか」と言われると、少なくとも現時点ではまだ難しいが答えではないでしょうか。近年、Linuxカーネルに対しては、この脆弱性の他にも、DirtyFlagやCopyFailといった脆弱性が発見されて世間を騒がせており、一層の対策が必要になっていることは間違いありません。今後も弊社は卓越したホワイトハッカーの集団として、AIも最大限活用することで、攻撃者よりも早く未知の脆弱性を発見し、修正に貢献できるよう、尽力して参ります。

　また、本脆弱性の重大度を客観的に示すことができ、修正までの各種調整が容易になったのは、ひとえにGoogle社の取り組みのおかげであり、敬意と感謝を表したいと思います。

【GMOサイバーセキュリティ byイエラエについて】
（https://gmo-cybersecurity.com/）

　GMOサイバーセキュリティ byイエラエは、国内最大規模のホワイトハッカーで組織されたサイバーセキュリティのプロフェッショナルカンパニーです。会社理念である「人を助ける信念を守るチカラに変えていく」ために今後も最先端の技術と実践的な教育を通じて、日本のサイバーセキュリティの強化に貢献していきます。また、「世界一のホワイトハッカーの技術力を身近に」を目指して、各種脆弱性診断、ペネトレーションテスト、セキュリティコンサルタント、SOCサービス、フォレンジック調査まで包括的にサイバーセキュリティ対策サービスをご提供します。

【「AIホワイトハッカー byGMO」について】

　「AIホワイトハッカー byGMO」とは、GMOサイバーセキュリティ byイエラエが提供する、サイバーセキュリティに特化したAI基盤です。GMOイエラエが独自に開発または一般に利用可能なAIモデルとGMOイエラエが誇る世界トップクラスのホワイトハッカーの知見を組み合わせて、構成されています。GMOイエラエはこのAIホワイトハッカー byGMOのAI基盤をさまざまな研究開発やサイバーセキュリティサービスおよびプロダクトサービスに展開してまいります。

▼「AIホワイトハッカー byGMO」プロジェクト立ち上げのお知らせ（2026年7月27日）

https://group.gmo/news/article/10117/

▼詳しい解説「AIホワイトハッカー byGMOとは」

https://gmo-cybersecurity.com/column/assessment/ai-whitehacker/

以上

【 GMOサイバーセキュリティ byイエラエ株式会社】（URL：https://gmo-cybersecurity.com/）

会社名　　GMOサイバーセキュリティ byイエラエ株式会社

所在地　　東京都渋谷区桜丘町26番1号　セルリアンタワー

代表者　　代表取締役CEO　牧田　誠

事業内容　■Webアプリ及びスマホアプリ脆弱性診断 ■ペネトレーションテスト

　　　　　■不正利用（チート）診断　■IoT脆弱性診断　■自動車脆弱性診断　
　　　　　■フォレンジック調査　■CSIRT支援 ■クラウドセキュリティ診断
　　　　　■クラウドセキュリティ・アドバイザリー

資本金　　1億円