LinuxカーネルCVE-2026-98432：暫定緩和と修正完了を委託契約で分ける

結論：暫定緩和と修正完了を別の承認事項にする

編集上の法的論点整理：法務・コンプライアンス部門は、委託先の対応済みという一語でリスクを閉じず、対象、実施した措置、残るリスク、次の対応予定を確認してください。特に修正版を適用するまでの継続利用は、業務影響と露出の評価に基づいて、権限のある責任者が承認する運用を提案します。

編集上の選択肢：修正版を適用できる構成では、必要な変更と受入試験を優先します。すぐに適用できない構成では、検証済みの暫定策、接続範囲の限定、機能の一時停止を比較し、例外期限と再審査条件を定めます。可用性を維持する判断と、未修正のリスクを受容する判断を同一のものと扱わないことが要点です。

背景と法的根拠：製品告知を委託先監督へ落とし込む

確認済み事実：Red Hatは2026年10月30日付のRHSB-2026-016で、LinuxカーネルのIPv4 TCP接続要求処理における解放後使用の脆弱性を告知しています。認証や利用者の操作を要しない遠隔攻撃の可能性を説明し、RHEL 8・9・10とOpenShift Container Platformを直接影響する製品として挙げています。

確認済み事実：同告知は、特定のトラフィックを制限する緩和策について、必要な業務を妨げる可能性があり、パッチの代替にはならないとしています。本番導入前の検証と、修正後の暫定策解除も説明しています。CanonicalのCVEページは、パッケージとUbuntuリリースごとに修正状態を表示しています。

編集上の法的論点整理：個人データを扱う環境では、安全管理措置と委託先監督の実施状況を確認する材料になります。製品の重大度だけで契約違反や過失を断定せず、保守範囲、把握時点、対応可能性、代替策、実施した確認を具体的に照合します。

適用期日・対象範囲・関係条項：製品別の状態を実機と照合する

日付の区別：Red Hat告知の表示上の公表日・更新日＝2026-10-30、Canonicalの当該CVEページの公表日＝2026-10-15、表示上の最終更新日＝2026-10-30です。製品ごとの修正版提供日、各環境の実適用日、共通の対応完了期限は今回の本文では一律に確定せずnullとします。法律の新たな施行日・意見公募期日はnullです。本記事の公開日・確認日は2026-11-01です。

確認済みの法的根拠：個人情報保護法第23条は個人データの安全管理措置、第25条は個人データの取扱いを委託する場合の必要かつ適切な監督を定めています。第26条の報告・本人通知は、個人情報保護委員会規則が定める報告対象事態との関係で判断します。通則編3－4－4、3－5－3、3－5－4を参照してください。

編集上の対象確認：クラウドのホスト基盤、利用企業が管理するゲストOS、コンテナの実行ノードを分け、誰がどのカーネルを更新するか確認します。OS名や上流の版番号だけでは修正の有無を決めず、製品・パッケージ・リリース別のベンダー情報と実稼働情報を照合します。提供準備中や導入予定という状態を、配布済み・稼働済みと読み替えないことを提案します。

編集上の報告判断：脆弱性が公表されたという事実と、自社で漏えい等が発生し又は発生したおそれがある事態は分けて確認します。侵害の兆候、対象データ、外部からの到達性、ログの欠損等を調査し、法定報告の判断と、契約上の事故・脆弱性連絡の要否をそれぞれ検討してください。

契約書・社内規程・SLA：完了条件と例外解除を明文化する

以下は編集上の条項案・確認事項です。製品の標準約款や既存契約の内容ではなく、当事者の役割と実現可能な作業に合わせて調整する検討材料です。

報告・完了条件の文言案：受託者は、対象環境の調査結果、暫定緩和の内容、残存リスク、修正版の提供状況及び適用計画を、別紙の担当・期限に従って報告する。暫定緩和を修正完了と表示せず、修正完了の報告には対象識別情報、適用内容、実稼働状態及び合意した受入試験の結果を添付する。実行できない作業や未確認の環境も例外として明記する案です。

緊急変更の文言案：受託者は、緊急のネットワーク制限又はサービス停止を行う場合、合意した権限・連絡手順に従い、対象、理由、業務影響及び復旧条件を記録する。暫定策の継続は期限付きで見直し、修正版適用後は解除の要否を確認し、その結果を報告する。初報時点で未確定の事項は、未確認と明示して追報する手順も検討します。

編集上のSLA確認事項：計画停止・緊急保守の通知、測定除外、サービスクレジット、追加費用、切戻し支援を照合します。可用性SLAを満たしていることだけで脆弱性対応の履行まで完了とせず、免責条項と、パッチ管理・調査協力・報告の義務をそれぞれ確認してください。条項の有効性や個別の責任判断は、具体的な契約と事実関係に基づく検討が必要です。

技術仕様・責任分界・監査証跡：稼働版と業務影響を受け入れる

編集上の連携提案：情シスは、OS・カーネルの稼働版、対象サービス、IPv4 TCPの接続経路、外部到達性、管理主体を一覧化します。委託先には、クラウド側の対応範囲と自社作業の対象を明示してもらい、法務は保守契約・再委託先との分担に照合します。別のLinux製品での評価や修正情報を、そのまま自社製品へ転用しないことが重要です。

編集上の受入提案：ネットワーク制限は、許可すべき通信と制限すべき通信の両方を検証用環境で確認してから適用します。パッケージの導入成功だけで終えず、製品の指示に沿った有効化、実稼働版、業務疎通、監視・ログ収集、復旧手順まで確認し、実施日時と承認者を保存してください。修正後の暫定策解除も別の変更として受け入れます。

編集上の監査提案：例外一覧には、修正版待ち、検証中、暫定緩和中、適用・受入完了を区別して記載します。証跡は、ベンダー情報の確認日時、対象一覧、設定差分、試験結果、残存リスク、次回確認日を中心に整理します。侵害調査が必要な場合は、ログ保全と復旧作業の順序を担当者間で調整し、不要な個人データを証跡へ複製しないようにします。

対応範囲：本記事は一般的な情報提供と編集上の法的論点整理です。行政書士としては、法令上の業務範囲内で契約書・社内規程等の書類作成や運用整理を支援します。個別案件の法的助言や代理交渉は行いません。契約解釈、損害賠償、報告・通知義務、紛争対応等は、個別事案に応じて弁護士等の専門家へ確認してください。