GMOサイバーセキュリティ byイエラエは、Linuxカーネルに2007年から19年間存在していた脆弱性「CVE-2026-43456」を発見し、GoogleのkernelCTFで8万米ドル超の報奨金を獲得した。権限昇格成功率99%以上という危険度の高さに加え、ホワイトハッカーの知見とAIの組み合わせが未知の脆弱性発見に有効であることを示した点で、サイバーセキュリティ産業の転換点となる成果だ。

19年間潜伏したネットワーク機能の型混同

今回発見されたCVE-2026-43456は、Linuxカーネルのネットワーク機能「bonding」に存在するtype confusion（型の混同）だ。根本原因となるコードは2007年に取り込まれてから約19年間修正されず、Linux 2.6.24から6.12.77まで広範囲に影響する。この脆弱性は能動的に狙って初めて発現する性質を持ち、通常利用では偶然発見される可能性が著しく低かった。カーネルファジングツール「syzkaller」が偶然検知したクラッシュを、AIも活用しながら詳細に解析することで発見に至ったという。攻撃の成功率は99%以上、実行時間は1秒未満と、発見の難しさとは対照的に悪用は極めて容易である点が特徴だ。

AIと人知の協働が示す新しい脆弱性調査モデル

今回の成果は、AI単独では到達できない複雑な脆弱性発見に、ホワイトハッカーの知見とAIの組み合わせが有効であることを示した。発見者の小池悠生CTOは、フロンティアAIのOSSに対する知識を評価しつつも、「AIのみで今回のような複雑な脆弱性が突き止められるか」については現時点ではまだ難しいと述べている。GMOイエラエはこの取り組みを「AIホワイトハッカー byGMO」として2026年7月27日に体系化しており、独自開発または一般利用可能なAIモデルと世界トップクラスのホワイトハッカーの知見を組み合わせたサイバーセキュリティ特化のAI基盤として、研究開発や各種サービスへの展開を進めている。

セキュリティ産業の競争軸が技術力から人材×AIへ

GoogleのkernelCTFのようなバグバウンティプログラムは、脆弱性の重大度を客観的に評価し、修正までの調整を容易にする仕組みとして機能している。今回8万米ドル超の報奨金が支払われた事実は、Linuxカーネルという社会基盤の安全性向上に対する経済的インセンティブの存在を示す。GMOインターネットグループという国内大手インターネット企業グループが、サイバーセキュリティ特化のAI基盤を打ち出したことで、国内のセキュリティサービス市場における差別化要因が「人材の質」から「人材×AIの組み合わせ」へとシフトする可能性がある。特にOSSの脆弱性調査は、企業の研究開発投資と社会的貢献が一致する領域として、バグバウンティ報奨金を収益の一部として位置づける動きが加速する可能性がある。

脆弱性開示後の企業対応と残る課題

本脆弱性は2026年3月に修正済みで、主要なLinuxディストリビューションの最新バージョンでは対策が見込まれる。修正適用が難しい環境では、bonding機能の無効化や非特権ユーザーによるネットワーク名前空間作成の制限が緩和策として提示されている。日本国内では、Linuxを基盤とするサーバーやネットワーク機器を運用する企業が多く、特に金融機関や通信事業者、政府機関など、レガシーシステムを長期運用する組織では、カーネルの更新サイクルが遅れがちだ。DirtyFlagやCopyFailといった近年発見されたLinuxカーネルの脆弱性と同様に、発見から修正、適用までの時間差をいかに短縮するかが、企業のセキュリティ体制にとって引き続き重要な論点となる。