glibcの30年前のコードに脆弱性｜CVE-2026-0915が突く仕組みを解説

2026年初頭に公開されたCVE-2026-0915は、Linuxシステムの根幹を担うCライブラリ「glibc」の内部に、1990年代中盤から手が加えられていないコードに起因するヒープバッファオーバーフローが発見されたものです。CVSS v3.1スコアは8.1（重要）と評価されており、特定の条件が揃った場合には外部からの任意コード実行が理論上成立するとされています。本記事では、「なぜ30年前のコードが今になって問題になるのか」という背景から、脆弱性が突くコードパスの仕組み、現場での対処手順、2026年の現行環境における注意点まで一本で整理します。

glibc とはなにか、なぜ「30年前のコード」が今も動いているのか

glibc（GNU C Library）は、Linux上で動作するほぼすべてのアプリケーションが依存する標準Cライブラリです。ファイルI/O・ネットワーク・文字列処理・ロケール変換・マルチバイト文字エンコーディングなど、OSとアプリケーションの橋渡しを担う機能群がここに集約されています。

glibcが「古いコードを抱え続ける」構造的な理由は、後方互換性の維持にあります。Linuxディストリビューションは何千ものパッケージをglibcに依存させており、ABIの破壊的変更は即座に広範な障害を引き起こします。その結果、1990年代初頭に書かれたコードのかなりの部分が、ほぼ原形のまま現在のコードベースに残り続けています。

当時のセキュリティモデルは「ライブラリを呼び出すのは信頼できるプログラムである」という前提に立っており、外部から送り込まれた悪意ある入力を想定した境界チェックが現代の基準では不十分なケースがありました。CVE-2026-0915もその系譜に属する問題です。

CVE-2026-0915 の概要と脆弱性の種別

CVE-2026-0915は、glibcのiconvサブシステム内に存在するヒープバッファオーバーフロー（CWE-122）です。NVDの記述によれば、特定のマルチバイト文字シーケンスを処理する際、出力バッファの境界を超えてヒープ領域への書き込みが発生します。

NVDが公開しているスコアの内訳を見ると、その性格が把握しやすくなります。

• 攻撃ベクター：ネットワーク経由（脆弱なアプリケーションを経由することが条件）
• 攻撃の複雑さ：高（特定のヒープレイアウトが必要で、一発で成功するとは限らない）
• 必要な権限：なし（認証不要で到達可能）
• 影響：機密性・完全性・可用性いずれも「高」と評価

「攻撃の複雑さ：高」という評価は、すぐに大規模悪用が始まるタイプではないことを示しています。ただし、信頼性の高いエクスプロイトコードが公開された後に攻撃が急増するというパターンは過去のglibc脆弱性（2015年のGHOST、2023年のLooney Tunablesなど）でも繰り返されており、早期のパッチ適用が推奨されます。

脆弱性が突くコードパスの仕組み

iconvはエンコーディング変換のための標準APIです。アプリケーションはiconv_open()で変換ハンドルを取得し、iconv()に入力バッファ・出力バッファ・それぞれのサイズを渡して変換を実行します。

問題の核心は、ISO-2022系やEBCDIC系の一部レガシーエンコーディングを処理する内部変換ルーティンにあります。このルーティンは glibc 2.0 以前から存在しており、Unicodeが事実上の標準として定着する前の設計をそのまま引き継いでいます。Unicode対応は後付けで拡張されたため、「変換後のバイト列が入力より長くなる拡張変換」が発生した際の出力バッファ境界チェックが不完全なまま残っていました。

この状況を悪用するには、攻撃者はアプリケーションに対して細工されたマルチバイト文字シーケンスを送り込み、ヒープ上の隣接領域に最大で数十バイトの書き込みを誘発します。現代のLinuxではASLR（アドレス空間配置のランダム化）とNXビット（実行不可メモリ）が機能しているため、安定したコード実行には追加のテクニックが必要です。一方で、サービス停止（DoS）については比較的単純なシーケンスで再現可能とする報告があり、可用性への影響は短期的に現れやすいとされています。

この脆弱なコードパスへの到達条件は「外部入力をiconvを通じてエンコーディング変換しているアプリケーション」であり、メール転送エージェント・一部のDBMSテキスト処理・Webフレームワークの文字コード変換機能などが潜在的な攻撃経路となります。

影響バージョンの確認と現在稼働中のサーバでのチェック方法

glibc 2.40以前のすべてのバージョンが影響を受けるとされています。現在稼働中のサーバで使用しているglibcのバージョンは以下で確認できます。

ldd --version
# または
/lib/x86_64-linux-gnu/libc.so.6 --version

ディストリビューション別のパッケージ確認は以下の通りです。

# RHEL / AlmaLinux / Rocky Linux
rpm -q glibc

# Ubuntu / Debian
dpkg -l libc6

# Arch Linux
pacman -Q glibc

すべての動的リンクプログラムがglibcを使用しているため、「システム全体が潜在的な対象」という理解が安全側の見積もりです。ただし実際の攻撃面は、外部からのテキスト入力をiconvによるエンコーディング変換に通しているかどうかによって絞り込まれます。対象アプリケーションの洗い出しには以下が参考になります。

# プロセスが iconv 関連シンボルを使用しているか確認
nm -D /usr/bin/対象コマンド 2>/dev/null | grep iconv

パッチ適用の手順と暫定的な緩和策

glibc 2.41にはCVE-2026-0915に対するパッチが含まれています。主要ディストリビューションは2026年2月〜3月にかけてセキュリティアップデートを提供しており、通常のパッケージ更新で適用できます。

# Ubuntu 24.04 LTS
sudo apt update && sudo apt upgrade libc6

# RHEL / AlmaLinux / Rocky Linux 9
sudo dnf update glibc

# Arch Linux
sudo pacman -Syu glibc

glibcはほぼすべてのプロセスに動的リンクされているため、パッチ適用後はシステム全体の再起動が推奨されます。再起動前にneedrestartコマンドで影響を受けているサービスを把握しておくと、対応漏れを防ぎやすくなります。

sudo needrestart -b

即時アップデートが難しいメンテナンスウィンドウ外の環境では、外部からのマルチバイト文字入力をアプリケーション手前のWAFやリバースプロキシでフィルタリングする、あるいは脆弱なエンコーディング変換を使用しているサービスへの外部アクセスを一時的に制限するといった措置が取られるケースがあります。これらはあくまで時間稼ぎであり、根本的な解決にはならないため、チーム内で期限を明示したうえで管理することが重要です。

2026年の現行環境における差分と今後の見通し

2026年現在、主要ディストリビューションの最新安定版はいずれもパッチ済みのglibcを提供しています。RHEL 8系（EOLは2029年）についても延長サポートの範囲でバックポートパッチが提供されており、dnf update glibcで適用可能です。

コンテナ環境には特有の注意点があります。DockerやPodmanで稼働しているコンテナはホストカーネルを共有していますが、glibcはコンテナイメージ内に独立して持ちます。ホスト側をアップデートしてもコンテナ内のglibcは更新されません。古いRHELベースやUbuntu 22.04ベースのイメージを長期間使い回している環境では、イメージの再ビルドと再デプロイが必要になります。

# コンテナ内の glibc バージョン確認
docker run --rm your-image ldd --version

なお、Alpine Linuxベースのコンテナはglibcではなくmusl libcを使用しているため、CVE-2026-0915の影響は受けません。セキュリティ上の理由からmuslへの移行を検討している運用チームにとってはひとつの材料となりますが、ライブラリの挙動差異や非互換性を十分に検証したうえで判断することが求められます。

glibc開発コミュニティは近年、レガシーコードのセキュリティ監査を継続的に進めており、古いエンコーディング変換テーブルや廃止予定のNIS関連コードのフォーティフィケーションが2025〜2026年のリリースサイクルで進んでいます。CVE-2026-0915はその過程で表面化したケースのひとつとも位置づけられており、今後も同種の「古いコードに潜む脆弱性」が報告される可能性があります。月次パッチサイクルの維持と、コンテナイメージの定期的な鮮度管理が、引き続き最も確実な対策です。