GMOサイバーセキュリティ byイエラエは2024年6月2日、約19年間放置されたLinuxカーネルの脆弱性「CVE-2026-43456」を発見したと発表した。権限昇格成功率99%以上という重大なバグで、Googleのbug bountyプログラムにて8万米ドル超の報奨金を獲得した。
発見の経緯
GMOサイバーセキュリティ byイエラエ所属の「GMOイエラエ」チームは2026年7月3日、Linuxカーネルのネットワーク機能「bonding」に存在する型の混同（type confusion）脆弱性の詳細を公開した。このバグは2007年にコードに取り込まれて以来約19年間修正されていなかった。発見はカーネルファジングツールによる偶然のクラッシュ検知から始まり、AIとホワイトハッカーの知見を組み合わせることで解析が進められた。
脆弱性の深刻さ
この脆弱性は「権限昇格」を可能にするもので、実行環境によっては攻撃者がシステム管理者権限を取得できる。検証結果では成功率が99%以上、完了まで1秒未満という極めて高い悪用性を持つ。影響範囲はLinux 2.6.24から6.12.77と広く、主要なLinuxディストリビューションの多くの環境に影響が及ぶ可能性がある。
AIと人的知見の融合
本チームは今回の発見を契機に、サイバーセキュリティ特化型AI基盤「AIホワイトハッカー byGMO」を体系化した。2026年7月27日に発表されたこの取り組みは、独自開発や一般利用可能なAIモデルと、同社のホワイトハッカーの知見を組み合わせたもの。AI単独では複雑な脆弱性の発見が難しい現状でも、人の知見と組み合わせることで従来難しかった未知のバグの特定が可能になる可能性を示した。
今後の展開
主要なLinuxディストリビューションでは既に修正版が提供されている。最新バージョンへの更新または「bonding」機能の無効化などが対策として推奨される。GMOイエラエは今後もAIと人的知見を最大限活用し、攻撃者よりも早く脆弱性を発見・報告する活動を引き続き行う方針だ。