さくらインターネットが新規サーバ受付を停止 クラウド運用を直撃したLinuxの脆弱性とは？：複数サービスに利用制限

クラウドやVPSの基盤を揺るがしかねないLinuxカーネルの脆弱性が公表された。さくらインターネットは「PwnEscape」と呼ばれるこの脆弱性への対応として、複数サービスで新規プロジェクトの作成や申し込み、一部機能の提供を停止した。一体この脆弱性は、利用者のシステム運用に何をもたらすのか。

[＠IT]

　さくらインターネットは2026年10月16日、「Linuxカーネル」のネットワーク処理に関する脆弱（ぜいじゃく）性「CVE-2026-99999」への対応状況を公表した。

　同社は「PwnEscape」と呼ばれる同脆弱性について、自社サービスへの影響調査と必要な対策を進めている。仮想化環境のホストシステムへの影響も懸念される中、複数のサービスで新規プロジェクトの作成や申し込み、一部機能の提供を停止した。新規の受付や機能を制限して同脆弱性に対処することからも影響の大きさがうかがえる。

　既存のプロジェクトやリソースは引き続き利用できると言うが、CVE-2026-99999とは一体どのような脆弱性なのだろうか。

CVSS 9.3のLinux脆弱性、仮想化環境への影響を警戒

　CVE-2026-99999は、LinuxカーネルのIPv4処理に関する脆弱性だ。NVDの記載によると、不正なチェックサム関連情報を持つパケットがIPv4の処理系に入った場合、チェックサムを補完する関数「skb_checksum_help」がネットワークヘッダを破損させる恐れがある。

　Linuxカーネルの開発元であるkernel.orgは、チェックサムの補完前に値を検証する対策を示している。CVSS v3.1の評価スコアは9.3で、深刻度は「緊急」（Critical）とされている。なお、NVDにおけるNIST独自の評価スコアは未設定だ。

　同社は「さくらのクラウド」「さくらのVPS」「さくらのレンタルサーバ」「高火力 DOK」「高火力 VRT」の5サービスを対象に影響を調査し、必要な対応を進めている。各サービスの利用者向けにも個別の告知を公開した。

クラウドの新規作成やVPSの申し込みを停止、既存環境は稼働継続

　「さくらのクラウド」では2026年10月16日から、リソースの作業空間である「プロジェクト」の新規作成を一時停止した。既存プロジェクトは継続して利用でき、作成済みリソースの稼働にも今回の措置による影響はない。プロジェクトの新規作成を必要とする「さくらの専用サーバ PHY」「高火力PHY」の申し込みも受け付けを停止している。再開時期は未定だ。

　「さくらのVPS」では、石狩や東京、大阪の全リージョンで新規申し込みを停止した。全プランが対象で、スケールアップの受付、利用者が持ち込むISOイメージによるインストール、「さくらのクラウド」へのマイグレーション機能も停止している。停止は2026年10月16日からで、再開時期は未定。同日午後6時10分に告知のタイトルと内容を修正したが、影響範囲に変更はないと説明した。

　「さくらのレンタルサーバ」と「さくらのマネージドサーバ」でも、2026年10月16日から新規申し込みの受付を停止した。

　レンタルサーバでは、ライトやスタンダード、ビジネス、ビジネスプロの各プランに加え、メール専用プランのメールボックスとビジネスメールが対象となる。マネージドサーバでは、スモール、ミディアム、ラージの各プランが対象だ。いずれも再開時期は未定だが、契約中のプランは通常通り稼働するとしている。

利用者側にも確認を要請、ホストメンテナンスの可能性も

　利用者自身がOSを管理する「さくらの専用サーバ PHY」などでは、OSやカーネルのバージョン、システム構成によって脆弱性の影響を受ける可能性がある。同社は利用者に対し、OSベンダーやLinuxディストリビューションが提供するセキュリティ情報を確認するよう求めた。影響を受ける環境では、提供元の案内に従ってセキュリティ更新を適用するなどの対応が必要となる。

　また、同社は「さくらのクラウド」と「さくらのVPS」について、対策の一環としてホストメンテナンスを含む作業を実施する可能性を示した。実施する場合は、対象利用者への影響や日時などを別途案内する。

　同社は今後、新たな情報やサービスへの影響が確認された場合、随時告知を更新する方針だ。