7月11日、Wiredが「AI Found a Root Bug in Linux That Everyone Missed for 15 Years」と題した記事を公開した。同記事はWiredが毎週配信しているセキュリティニュースの週次まとめ（weekly security roundup）であり、今週のメイントピックとして、AIを使った脆弱性探索ツールが15年間見逃されてきたLinuxカーネルのroot権限昇格バグを発見した件を取り上げている。本稿ではその内容を紹介する。
AIが発見した15年間のLinux脆弱性
AIを活用した脆弱性探索ツールが、Linuxカーネルに15年間潜伏していたuse-after-free脆弱性を新たに特定した。パッチが当たっていないマシンではログイン済みのユーザーが誰でもroot権限を取得できる深刻な欠陥だ。
use-after-freeとは、解放済みのメモリ領域に引き続きアクセスすることで、意図しない動作やコード実行を引き起こすメモリ管理上の欠陥だ。Linuxカーネルではこのクラスのバグが過去にも多数報告されており、権限昇格の温床として知られている。
この脆弱性は2011年以降、実質的にすべての主要Linuxディストリビューションにデフォルトで含まれていた。特別なパーミッションもネットワークアクセスも不要で、コンテナ（DockerやKubernetes等の隔離環境）からの脱出も確認されている。公開されたexploitコードの成功率は97%に達しており、GoogleのkernelCTFプログラム（Googleがカーネル脆弱性の発見に報奨金を出す制度）を通じて9万2,337ドルの報奨金が支払われた。
パッチ自体は2025年4月に公開済みだが、適用状況はディストリビューションによってばらつきがある。2025年7月初旬時点でUbuntu 24.04、22.04、20.04 LTSはいずれも「vulnerable（脆弱）」または「修正パッケージ対応中」の状態が続いており、パッチが自動適用されていると思い込まず、実際に修正済みパッケージが導入されているかを個別に確認する必要がある。
発見の立役者はAI駆動の脆弱性探索ツール
今回の発見で特筆すべき点は、このバグをAI駆動のバグハンティングツールが見つけたことだ。同ツールは長年ほとんど誰も読み返していなかった古いカーネルコードを自動解析することで脆弱性を特定した。
記事によれば、今回の件は2026年に入ってから自動化ツールが炙り出したLinux権限昇格バグの波の一部だという。人間のコードレビューが現実的に追いつかない規模の古いコードベースに対して、AIを活用した脆弱性探索が実際の成果を上げてきていることを示す事例であり、セキュリティリサーチの手法が変わりつつあることを如実に示している。
今週のその他のセキュリティニュース
ナンバープレート誤認識で武装警官4人に包囲された記者
The Driveのレポーターが、Flock社の自動車ナンバープレート読み取りカメラ（ALPR）の誤認識によりミネソタ州のコールズ駐車場で警官4人に包囲される事態が発生した。原因はLA警察へのナンバープレート盗難報告における2,000マイル先でのデータ入力ミス。「34 03 DTM」が「34 DTM」と誤登録され、Flockのカメラが中間の数字を無視して読み取ったことで、同じフォーマットのナンバープレートを持つ車両が誤検知され続けた。同週にはミネソタ州内で他にも4台のランドローバーが追跡されていたという。
ICEのサイバー契約企業Accentureが侵害を受ける
「888」と名乗る脅威アクターが、Accentureから35GBのデータ（ソースコード、RSA/SSHキー、Azureアクセストークン等）を窃取したと主張し、サイバー犯罪フォーラムで販売を試みた。Accentureは「単発の事案」として対処したと説明している。問題のタイミングとして、Accentureは2021年9月からICEのサイバー防衛・インテリジェンス支援サービス契約（約5,650万ドル規模）を保有しており、今年8月末に期限を迎える。
ペンタゴンが未経験者向けサイバー見習いプログラムを開始
Cyber RAPと称する12カ月の有給見習いプログラムで、サイバーセキュリティの学位や経験を問わず「素の適性」で採用する。ただし年間報酬は2万2,584ドルと低く、脱落した場合はトレーニング費用の返還義務がある。一方で上院軍事委員会の法案には「contractor-owned, contractor-operated（民間所有・民間運営）」によるサイバー作戦の試験的実施が盛り込まれており、ハッカー傭兵部隊の公認化に批判の声も上がっている。
詳細はAI Found a Root Bug in Linux That Everyone Missed for 15 Yearsを参照していただきたい。
