カルダノ団体、Linuxの重大欠陥でプール運営者に更新呼びかけ

SPOに更新と再起動を要請

カルダノ（ADA）のガバナンスを支える会員制組織インターセクト（Intersect）は10月30日付の週次アップデートで、ステークプールオペレーター（SPO）に対し、Linuxカーネルの重大な脆弱性「CVE-2026-98432」への対応を呼びかけた。ブロック生成サーバーとリレーサーバーの双方でカーネルのバージョンを確認し、利用中のディストリビューションが修正版を公開し次第、適用して再起動するよう求めている。

脆弱性の深刻度を示すCVSSスコアは10点満点中9.8で、最上位の「クリティカル」に区分される。欠陥があるのは外部からのIPv4 TCP接続を受け付ける処理で、悪用されるとサーバーが停止するほか、条件によっては認証なしで外部から操作される恐れがある。影響はバージョン4.4以降のカーネルに及ぶ。インターセクトの通知は、カルダノのプールを狙った悪用事例を報告していない。

カルダノはプルーフ・オブ・ステーク（PoS）を採用しており、ADA保有者が自らのADAをステークプールに委任し、プールを運営するSPOがブロック生成を担う。SPOの多くはLinuxサーバー上でノードを動かしているため、今回の注意喚起は一般の保有者ではなく運営者に向けて出された。

Linuxカーネル本体（アップストリーム）は10月上旬に修正を取り込んだ。ただしSPOが実際に使うディストリビューション側の対応はまちまちで、10月30日時点でUbuntuは修正作業中、Red Hat Enterprise Linux（RHEL）は修正版を準備中、AlmaLinuxは修正済みカーネルをテスト用リポジトリで提供する段階にとどまっていた。インターセクトは、自分の環境が対応済みだと思い込まず、各サーバーを確認するよう促している。

アンソロピックが攻撃コード作成を報告

今回の注意喚起に先立ち、米AI企業アンソロピック（Anthropic）は10月27日に公開した研究報告で、未公開の研究用Claudeモデルがこの脆弱性を突く攻撃コードを作成したと明らかにした。対象は、1つの通信を複数の経路に分けて送る「マルチパスTCP（MPTCP）」の接続を待ち受けるLinuxサーバーで、検証環境では約53分で管理者（root）権限でのコマンド実行に至ったという。

アンソロピックは公開前に脆弱性を報告済みとしており、攻撃コード自体は公開していない。修正は保守対象の安定版カーネル全系統に反映されている。カーネルのCVE記録や修正パッチにはMPTCPへの言及がなく、同社の報告内容を第三者が全面的に検証した段階ではない。

委任されたADAへの想定される影響は報酬面

カルダノの委任では、ADAは保有者のウォレットから移動せず、委任中もいつでも送金できる。プールのサーバーが乗っ取られても、委任者のADAが直接奪われる仕組みではない。10月31日時点で委任されているADAは約213億ADAで、流通量の約57％にあたる（Cardanoscan調べ）。

懸念されるのは報酬面だ。サーバーが停止してブロック生成が滞れば、プールと委任者が受け取る報酬が減る。カルダノでは2025年11月にも別の不具合でチェーンが一時的に分岐する障害が起きたが、利用者の資金に被害は出なかった。今回の脆弱性についても、資金の流出や報酬の損失との関連は確認されていない。