• Intersectは10月30日、CVE-2026-98432についてCardanoのステークプール運営者に警告した。

• このLinuxの脆弱性のCVSS深刻度スコアは、10点中9.8点。

• Anthropicによると、Claude AIは53分間のテストで実際に機能する攻撃を構築した。この内容は10月27日に公表された。

Intersect、ステークプール運営者に警告

Cardano（ADA）のガバナンスを支える調整団体Intersectは10月30日、Cardanoのブロックを生成するサーバーがクラッシュしたり、一部の構成では制御権を奪われたりする可能性のある、重大なLinuxの脆弱性についてステークプール運営者に警告した。この脆弱性はCVE-2026-98432として追跡されており、Intersectの週次アップデートによると、CVSS深刻度スコアは10点中9.8点で、バージョン4.4以降のカーネルに影響する。Linuxはブロックチェーンの稼働を支える多くのマシンの基盤となっている。このバグは、細工されたインターネットリクエストによってサーバーのメモリ処理を混乱させる。攻撃が成功するとマシンが完全にクラッシュする可能性があり、一部の構成ではパスワードなしで外部の第三者に完全なアクセスを許すおそれもある。CVSSスコア9.8は、評価者が付与する最も深刻なカテゴリに該当し、複雑な手順を必要とせず遠隔から悪用できる脆弱性に限られる。

この警告は、Anthropicが10月27日に公開した調査を受けたものです。同社によると、Claude AIシステムが、複数の経路を通じて1つの接続を同時に通信させるネットワーク機能「マルチパスTCP」を使うサーバーに対し、この種の攻撃を実行する方法を編み出しました。同社の調査記事によれば、自動テストは53分で実際に機能するエクスプロイトを生成しました。その後、公開テストコードも登場しましたが、サーバーを完全に乗っ取れることを示すには至りませんでした。現時点でCardanoのステークプール基盤への攻撃は報告されておらず、市場データにもCardano価格への明確な直接的影響は見られません。Cardanoのブロック生成者の大半はLinuxサーバーを使用しているため、この勧告は一般の保有者ではなく運営者に向けられました。注意喚起の対象は台帳そのものではなくインフラ層ですが、Intersectは週次の調整報告で取り上げるほど緊急性が高いと判断しました。また、ネットワークのブロック生成には、この脆弱性が標的とする種類のLinuxマシンがまさに使われています。

UbuntuとRed Hatでパッチ適用に遅れ

リスクが及ぶのはステーキングを通じてです。Cardanoのプルーフ・オブ・ステーク設計では、保有者がブロック生成と報酬獲得を担うプールに委任します。現在、約215億ADA、流通供給量のおよそ58%がネットワーク全体で委任されています。この仕組みでは、コインが所有者のウォレットから移動することはありません。Cardanoの公式ドキュメントにも、委任されたADAはいつでも使用可能だと明記されています。そのため、プールが乗っ取られても、攻撃者が委任者のコインの所有権を得ることはありません。一方、プールがオフラインになる場合は別です。同じドキュメントでは、プールのパフォーマンスが低いと、プールと参加者が受け取る報酬が減ると説明されています。したがって、この脆弱性でサーバーが停止すれば、元本に影響が及ぶよりずっと前に報酬が減少するでしょう。これほど多くのADAが委任されているため、警告はまず運営者に向けられました。この脆弱性による影響は、保有者のウォレットの安全性ではなく、運営者の稼働状況に及ぶからです。

パッチの適用状況は、運営者が実際に使用しているディストリビューションによってばらついています。Linuxの上流版には10月5日に修正が入りました。10月30日時点でUbuntuは修正作業中で、依然として脆弱な状態でした。Red Hat Enterprise Linuxでは修正が保留中とされ、AlmaLinuxではパッチ適用済みカーネルがテスト中でした。ステークプールの運営者が単一の標準イメージを使っているわけではないため、同じバグでもサーバーごとにリスクの度合いが異なります。Intersectは運営者に対し、自分のサーバーを確認し、更新を適用して再起動するよう促しています。使用中のディストリビューションにはすでに対策が済んでいると思い込まないよう呼びかけています。今回の件は、別のバグによってCardanoが一時的に2つのチェーンに分岐した昨年11月の出来事を思い起こさせます。このときもユーザー資金が危険にさらされることなく収束しました。今回の脆弱性に関連する資金の盗難や報酬の損失は報告されていません。現在は、委任総額を考えると稼働状況が直接的な経済問題となるCardanoのステークプール基盤全体に、修正がどれほど迅速に行き渡るかが注目されています。設定を見直す運営者や委任者は、Cardanoのステークプール選びに関するガイドをご覧ください。

実際にどの程度影響を受けているのかは未解明であり、公表されている情報からは判断できません。上流のカーネルには10月5日に修正が入りましたが、10月30日時点でUbuntuとRed Hatのパッケージにはまだパッチが適用されておらず、これらのディストリビューションを使う運営者に残存リスクが集中しています。修正を適用したCardanoのブロック生成者が何人いるかを示す公表データはありません。そのため、これまでに明らかになっている範囲では、勧告が出ていることと攻撃が確認されていないことの両方が事実として並び立っています。今回の件で明らかになったリスクの性質は、資産の保管ではなく報酬と稼働状況に関するものです。プールサーバーに何が起きても、委任者のコインは各自のウォレットに保管されているからです。最近、メインネット初の取り組みとして115,172 ADAをトレジャリーに返還したIntersectは、今度は別種の調整能力を試されることになります。