2026年10月15日、Linuxカーネル（Linux OSの中核部分）のネットワーク処理に重大な脆弱性（CVE-2026-98432）があることが公表され、あわせて修正版が公開されました。細工したパケットを送りつけることでサーバーを停止させたり、条件によっては認証なしでリモートからプログラムを実行されたりするおそれがある問題です。10月27日（米国時間）には、この脆弱性を発見したAnthropic社が、特定の条件で遠隔から管理者権限を取得できることを実証したと公表しました。
カーリルが提供する各サービス（カーリル、Unitrad API、カーリル for AI、学校図書館支援プログラムなど）はLinuxサーバー上で運用しており、本脆弱性の影響を受けるサーバーが含まれます。10月30日時点で、本脆弱性を悪用した攻撃は世界的にも報告されておらず、カーリルのサービスにおいても不正アクセスや情報漏えいなどの被害は確認されておりません。
カーリルでは次の対応を実施しています。
- 配布元（OSの提供元）から修正版カーネルが提供されているサーバーには、修正版を適用して再起動を完了しました。
- カーリルが使用しているLinuxディストリビューションの一部では、10月30日時点で配布元から修正版が提供されていません。これらのサーバーには、脆弱性の引き金となる「IPオプション付きのTCPパケット」をファイアウォールで遮断する緩和策を10月30日に適用しました。通常のウェブ通信ではIPオプションは使われないため、この設定が利用者や図書館の皆さまの利用に影響することはありません。修正版が提供され次第、順次適用します。適用に伴い、カーリルの各サービスが停止したり不安定になる可能性があります。
これまでの作業に伴うサービスの停止は発生していません。利用者の皆さま、図書館の皆さまによる対応も不要です。
なお、本脆弱性はLinuxを使用するサーバー全般に影響するため、各図書館の蔵書検索システム（OPAC）でも順次対応が行われるものと考えられます。各館のシステムは、それぞれの図書館およびシステム提供事業者が管理しています。各館のシステムがメンテナンスなどで一時停止している場合、カーリルで検索結果が表示されないことがあります。
図書館の皆さまへ：セキュリティを「確認」から「理解」へ
今回のような脆弱性が公表されると、図書館からシステム事業者に対して、セキュリティチェックシートやアンケート形式での確認が行われることがあります。利用者の情報を預かる機関として、事業者の対応を確認することは大切です。カーリルでは、いつでもカーリルのセキュリティ対策状況を確認できるよう、セキュリティホワイトペーパーを提供しています。問い合わせの前に、一度ご確認いただくようお願いします。
今回の一連の脆弱性対応にあたっては、脆弱性の内容を踏まえないまま、「ウイルス対策ソフトを導入していますか」「パスワードを定期的に変更していますか」「セキュリティ責任者を置いていますか」といった一般的な項目への回答を求めるケースも少なからず見受けられます。今回の脆弱性はOSの中核部分の問題であり、こうした対策の有無や責任者の確認では防ぐことも、影響を判断することもできません。
本当に重要なのは、影響を受けるシステムを把握し、修正版を適用すること、そして修正版が出るまでの間に有効な緩和策をとることです。
そして図書館に求められているのは、事業者の対策を点検することよりも、リスクをどこまで許容するかを明確に伝えることです。修正版の適用や緩和策には、サービスの一時停止をともなう場合があります。そのとき「止まるのは困る」と求めることは、脆弱性を抱えたまま運用を続けるリスクを、利用者に負わせる判断でもあります。どの程度のリスクなら受け入れ、どこからは停止してでも対策を優先するのか。その線引きを明確にしてください。
情報セキュリティは、一度学べば終わりというものではありません。攻撃の手法も、守り方も変わり続けています。図書館が利用者の情報を守り、事業者と実のある対話をするためには、図書館関係者一人ひとりが正しい理解をもち、学び続けることが欠かせません。無意味な儀式は、いますぐ停止してください。
カーリルでは今後も情報収集を続け、必要に応じてお知らせします。
サイバーハック体験版：攻撃を受けたときの初動を体験する
図書館総合展にあわせて、図書館向けに、サイバー攻撃を受けたときの初動対応を疑似体験できる教材「サイバーハック体験版」を公開しました。特に、図書館の情報セキュリティ責任者の方に向けた教材です。実際の事例と公的機関の資料をもとに作っています。
