CryptoSlateが11月9日に報じたところによると、最新のLNDリリースにアップグレードしたBitcoin Lightningノード運営者でも、依然として重大なセキュリティギャップが残っている。新しいLNDバイナリはMultipath TCP（MPTCP）リスナーをデフォルトで無効化し、CVE‑2026‑98432で実証された特定の攻撃経路を閉じたが、根本のLinuxカーネル欠陥は多くのホストで未パッチのままで、リモートコード実行の危険が残っている。

BTC / USD
出典：CoinGecko。価格は参考値です。

LNDアップデートで既知のエクスプロイトベクトルが遮断された

10月30日のLNDリリース（v0.20.7‑beta と v0.21.6‑beta）は、Linux上でGo 1.24が有効にしたデフォルトのMPTCPリスナーを削除した。この変更により、MPTCPリスナーを利用してカーネルのメモリ破壊バグをトリガーする実証された攻撃経路が止められた。CryptoSlateは、修正はLND自身のポート（peer、gRPC、REST）に限定され、同一マシン上で他のサービスがMPTCPを露出させている場合は対処されていないと指摘している。

カーネル脆弱性は依然として重大

CVE‑2026‑98432として追跡されるこの欠陥は、IPv4 TCP処理中に解放されたメモリが再利用されることに起因し、CVSS 3.1で9.8というクリティカルスコアを持つ。Ubuntuのセキュリティトラッカーは、22.04 LTS と 24.04 LTS の標準カーネルパッケージが依然として脆弱とし、パッチは11月初旬時点で‑proposedリポジトリにのみ存在する。Canonicalはフルカーネルアップデートが近々提供されると示唆しているが、運営者は自システムの正確なカーネルバージョンを確認するよう助言している。

Lightning運営者向けの緩和手順

CryptoSlateは三段階の緩和策を提示している：（1）最新のLNDバイナリへアップグレード、（2）ホストレベルで `net.mptcp.enabled=0` のsysctlコマンドでMPTCPを無効化（または即時対策としてGo環境変数 `GODEBUG=multipathtcp=0` を設定）、（3）‑updatesチャンネルにパッチが入ったUbuntuカーネルを適用し再起動する。Docker利用者はコンテナのネットワーク名前空間設定も調整する必要があり、ホスト側の変更が自動的にコンテナへ伝搬しない点に注意が必要だ。

次に注目すべき点

今後注視すべきは、Canonicalが全Ubuntuバリエーション向けにカーネル修正をリリースするペース、Lightningノードに対する実際の攻撃試行が公表されるかどうか、そしてLinuxカーネルコミュニティからの上流パッチが配布特有のアップデート以外で脆弱性を解消できる可能性である。