最終更新：10 月 25 日 14:33（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ NAS・サーバーを任せている会社 ／ 技術的な詳細 ／ ksmbd を使っているかの確かめ方 ／ 修正が出るまでの回避策 ／ 問い合わせ文のひな形
ひとことで言うと
Linux の中心部分の弱点 5 つが、直る前に公開された。ファイル共有に ksmbd を使っているかの確認を（10 月 21 日）
- 多くのサーバーや NAS の中で動く Linux カーネル（Linux の中心部分）の弱点（脆弱性）5 つについて、くわしい報告が、直す前に誰でも読める場所に送られた。修正も CVE の番号も、まだそろっていない
- いちばん深刻なのは、ファイル共有の仕組み「ksmbd」の 2 つ。ksmbd を動かしているサーバーで、外からプログラムを実行される（乗っ取られる）おそれがある。よく使われる別のソフト Samba は、対象に挙がっていない
- NAS やファイルサーバーを任せている会社は、ksmbd と Samba のどちらを使っているかを保守会社やメーカーに聞く。ファイル共有はインターネットに出さない
どうすればいい？
よくある疑問と答え
-
自社のサーバーや NAS は対象？
ksmbd の 2 つは、ファイル共有に ksmbd を使っているときだけ関係します。Samba を使っているなら当たりません。どちらを使っているかは、保守会社やメーカーに聞くのが確実です。
→ ksmbd を使っているかの確かめ方 -
ksmbd とは？ Samba とどう違う？
どちらも、Windows と同じファイル共有（SMB）を Linux で使うためのソフトです。ksmbd は Linux カーネルの中で、Samba はカーネルの外で動きます。
→ ksmbd と Samba の違いの早見表 -
何をすればいい？
使っていない ksmbd は止め、ファイル共有の受け口（445 番）がインターネットから届かないようにします。修正したカーネルが出たら更新します（この記事での整理）。
→ 修正が出るまでの回避策 -
もう攻撃されている？
1 つ（ZDI-CAN-33367）は、試すためのコードが報告と一緒に公開されています。ただ、CloudLinux は実際の攻撃に使われた報告は把握していないとしています。ほかの 4 つも、確かめた公式の発表に悪用の記載はありません。
→ 何が公開されたか（技術的な詳細） -
いつ直る？
一部は、開発中のカーネルに修正が入り始めています。手元のサーバーに届くのは、使っている Linux の配布元が更新を出したときです。
→ 修正の状況と配布元の対応 -
保守会社には何と聞けばいい？
そのまま送れる問い合わせ文を用意しています。ksmbd と Samba のどちらか、外から届くか、修正の予定を一度に聞けます（この記事での整理）。
→ 問い合わせ文のひな形 - レンタルサーバーやクラウドを使っている場合は？ カーネルの更新は、サーバー会社が行うことが多いです。サーバー会社のお知らせやメンテナンスの情報を見ておきます（この記事での整理）。
詳しくは：何が公開されたか ／ ksmbd を使っているかの確かめ方 ／ 修正が出るまでの回避策 ／ 問い合わせ文のひな形
この記事では、Linux カーネルの脆弱性（ksmbd ほか、修正前に公開された 5 つの報告）について、トレンドマイクロの Zero Day Initiative（ZDI）の公開予定の一覧と、Linux カーネルのメーリングリストに送られた ZDI の報告と担当者の返信、Linux カーネルの文書、Red Hat・AlmaLinux・CloudLinux の発表、Samba の公式サイトだけをもとに、何が公開されたかと修正の状況を整理します。
あわせて、ksmbd を使っているかの確認方法、Samba との違いの早見表、修正が出るまでの回避策の表、保守会社・NAS メーカーへの問い合わせ文のひな形を、この記事での整理として載せます。攻撃の手順や再現のコードの細かい情報は載せていません。
NAS・ファイルサーバーを任せている会社がやること
社内の NAS やファイルサーバーの保守を外部の会社に任せている会社に向けた手順です。自分でサーバーを操作する必要はありません（この記事での整理）。
- ファイル共有に ksmbd と Samba のどちらを使っているかを、下の問い合わせ文のひな形で、保守会社や NAS のメーカーに聞く
- あわせて、ファイル共有（SMB・445 番）がインターネットから届く状態になっていないかを確かめてもらう
- 社員などがログインして使う Linux のサーバーがあるなら、権限昇格の件（ZDI-CAN-33367）への対応の予定も聞く
- レンタルサーバーやクラウドのサーバーは、サーバー会社のお知らせやメンテナンスの情報を見ておく
Linux のサーバーを自分で管理している場合は、下の技術的な詳細と確かめ方の手順に進んでください。ksmbd が入っているか・動いているかを確かめ、使っていなければ止めます。使っているなら、ゲストで入れる共有と SMB Direct（RDMA）の設定を見直します（この記事での整理）。
何が公開されたか（技術的な詳細・システム担当者向け）
ここからは、サーバーを管理している担当者・エンジニア向けです。まず、出てくる名前の説明です。ZDI は、研究者が見つけた脆弱性の情報を買い取り、メーカーに知らせる取り組みで、トレンドマイクロ（TrendAI）が運営しています。ふつうは、メーカーが直すまで詳しい情報を公開せず、修正が出たあとに自分たちの発表（アドバイザリ）を出します。Linux カーネルは、Linux の OS の中心にあたる部分で、サーバーや NAS、ネットワークの機器の多くの中で動いています（この記事での整理）。
今回、いつもと違ったのは送り先です。ZDI は 10 月 21 日、Linux カーネルの 5 つの脆弱性の報告を、カーネルのセキュリティチームの宛先（security@kernel.org）に送り、同時に、誰でも読める公開のメーリングリスト（Linux カーネル全体のリストと、それぞれの機能の開発者のリスト）にも送りました。報告には、原因になっているプログラムの箇所の説明や、再現の手順が含まれていました。修正が出る前に、詳しい情報が誰でも読める状態になったということです（修正の無いまま知られた脆弱性は、ゼロデイ脆弱性とも呼ばれます）。
カーネルの側の反応です。安定版のカーネルの担当者は、ZDI の報告に「修正のパッチがなく、公開のリストに送られている」と返信しています。Linux カーネルの文書は、セキュリティの不具合は、まずその機能の担当者に送ってカーネルのセキュリティチームを宛先に加え、この段階では公開のリストに送らないよう求めています（すでに公開されている場合や、AI の道具などで誰でも同じものを見つけられる場合を除く）。
5 つの報告の内容です。ZDI の公開予定の一覧と、それぞれの報告の題名・CVSS をまとめました。
| 報告 | 場所 | 起きうること | CVSS |
|---|---|---|---|
| ZDI-CAN-33774 | ksmbd（カーネルの中の SMB サーバー）の、通信の種類を振り分ける処理 | 処理の順番の食い違い（競合状態）で、離れた場所からのプログラムの実行（リモートコード実行）につながるおそれ | 9.0 |
| ZDI-CAN-33549 | ksmbd の SMB Direct（RDMA という高速な通信の仕組みを使う SMB）の処理 | 数の計算のあふれ（整数アンダーフロー）で、離れた場所からのプログラムの実行につながるおそれ | 9.0 |
| ZDI-CAN-34068 | vmwgfx（VMware の仮想マシンの画面表示のためのドライバー） | メモリの範囲外への書き込みで、ログインできる利用者が管理者の権限を取れる（権限昇格）おそれ | 8.8 |
| ZDI-CAN-34076 | nvmet（NVMe のストレージをネットワーク越しに貸し出す、サーバー側の機能） | 初期化していないメモリを使うことによる、情報の流出のおそれ | 8.6 |
| ZDI-CAN-33367 | skbuff（ネットワークのデータを扱う仕組み）の skb_zerocopy という処理 | ログインできる利用者が、読めるだけで書き込めないファイルの内容を変え、管理者の権限を取れる（権限昇格）おそれ | 7.8 |
CVSS は、脆弱性の深刻さを 0 から 10 で表した値で、大きいほど深刻です。ksmbd の 2 つの 9.0 は、ネットワークの離れた場所から、ログインなしで狙える前提の評価です。ただし、攻撃の条件は厳しい（AC:H）と評価されています（ZDI の評価の記号の読み方は、この記事での整理）。
ksmbd の 2 つの条件は、報告に書かれています。ZDI の報告によると、ZDI-CAN-33774 を起こすには、処理の順番の食い違いをうまく起こすことと、ゲストで入れる共有があることが必要です。ZDI-CAN-33549 は、RDMA に対応した機器と、書き込める共有、SMB Direct の 3 つがそろっている必要があります。どちらも、試したカーネルは 7.3-rc3（Debian 13）で、影響を受ける版の範囲は報告に書かれていません。
CVE の番号がまだ無い理由です。Linux カーネルの文書によると、修正されていないカーネルの不具合には CVE の番号を自動では付けず、修正が安定版のカーネルに取り込まれてから付けます。CVE の番号で検索したり、CVE の番号で照合する検査の道具を使ったりしても、今は見つかりません（この記事での整理）。
悪用についてです。ZDI-CAN-33367 について、CloudLinux（レンタルサーバー向けの Linux の OS と、再起動せずにカーネルを直すサービス KernelCare を提供する会社）は、実際の攻撃に使われたという報告は把握していないとしています。ほかの 4 つについて、この記事で確かめた公式の発表に、悪用されたという記載はありません。
修正の状況と、Linux の配布元の対応（Red Hat・AlmaLinux など）
Linux カーネルの修正は、担当者の開発用の置き場（ツリー）に入ったあと、カーネルの本体（mainline）、安定版のカーネル、各 Linux の配布元（ディストリビューション）のカーネルの順に届きます。利用者のサーバーに届くのは、配布元が更新を出したときです（この記事での整理）。10 月 25 日に確かめた状況は次のとおりです。
| 報告 | 10 月 25 日までに分かっている修正の状況 |
|---|---|
| ZDI-CAN-33774（ksmbd） | ksmbd の担当者が 10 月 22 日、すでに直したと返信し、担当者のツリーにある修正（ksmbd: wait for negotiation before receiving another PDU）を示した。10 月 24 日、この修正を含む 7.4-rc1 向けの ksmbd の変更を、カーネルの本体に取り込むよう依頼した |
| ZDI-CAN-33549（ksmbd の SMB Direct） | SMB Direct の担当者が、Linux 7.5 に向けた開発中のツリーで直っている可能性を示し、10 月 23 日に、まず小さな修正を先に入れることを提案した。ksmbd の担当者が修正のパッチを示し、SMB Direct の担当者が確認した |
| ZDI-CAN-33367（skb_zerocopy） | ネットワークの担当者は、1 週間前に別の経路から修正つきの報告を受けていたと返信した。修正は 10 月 22 日に投稿され、10 月 23 日にネットワークの修正のツリー（netdev/net.git）に取り込まれた。AlmaLinux は 10 月 23 日、修正したカーネルをテスト用の置き場で公開した |
| ZDI-CAN-34068（vmwgfx） | 安定版のカーネルの担当者が、修正のパッチがないため、できることがあまりないと返信した。修正の投稿は、この記事では確認できていない |
| ZDI-CAN-34076（nvmet） | 安定版のカーネルの担当者が、修正のパッチがなく公開のリストに送られていると返信した。修正の投稿は、この記事では確認できていない |
配布元ごとの情報です。Red Hat は 10 月 23 日に更新したナレッジ記事で、ksmbd の 2 つ（ZDI-CAN-33774・ZDI-CAN-33549）について、ksmbd のコードは出荷しているどの版にも入っていないため、Red Hat の製品は影響を受けないとしています。SMB Direct の件に必要な 2 つのカーネルの設定（CONFIG_SMB_SERVER_SMBDIRECT と CONFIG_RDMA_RXE）も、標準の Red Hat Enterprise Linux では無効だと書いています。
権限昇格の件（ZDI-CAN-33367）は、Red Hat と互換の無償の Linux の OS を作る AlmaLinux が 10 月 23 日に発表しています。AlmaLinux によると、AlmaLinux 8・9・10 のすべてが影響を受け、試すためのコード（PoC）のソースコードが報告と一緒に公開のリストに送られました。修正したカーネルはテスト用の置き場で公開され、確かめたあとに通常の置き場へ出すとしています。CloudLinux は 10 月 22 日、公開されたコードで、AlmaLinux 8・9・10、Debian 12・13、Ubuntu 24.04・26.04 で管理者の権限を取れたことを確かめたと発表しました。
Ubuntu・Debian のセキュリティの情報と、日本の JVN・JPCERT/CC の情報は、10 月 25 日の時点では見つかりませんでした。出たら追記します。
経緯
日付は、それぞれの発表やメールに書かれている日付です（協定世界時などで書かれているため、日本時間では翌日になるものがあります）。
| 日付 | できごと |
|---|---|
| 2026 年 10 月 25 日 | ZDI の公開予定の一覧で、5 つの報告（メーカーへの連絡は 10 月 21 日、期限は 2027 年 2 月 18 日）を確認した。CVE の番号はまだ付いていない（この記事の確認日） |
| 10 月 24 日 | ksmbd の担当者が、ZDI-CAN-33774 の修正を含む 7.4-rc1 向けの変更を、カーネルの本体に取り込むよう依頼した |
| 10 月 23 日 | Red Hat がナレッジ記事を更新し、ksmbd の 2 つは Red Hat の製品に影響しないとした。AlmaLinux が ZDI-CAN-33367 を直したカーネルをテスト用に公開した。ZDI-CAN-33367 の修正がネットワークの修正のツリーに取り込まれた。CloudLinux が CloudLinux 10 向けの KernelCare の修正を公開した。SMB Direct の件の小さな修正が担当者の間で示された |
| 10 月 22 日 | カーネルの担当者たちが ZDI の報告に返信した。ksmbd の担当者は ZDI-CAN-33774 は直したと返信した。ZDI-CAN-33367 の修正が投稿された。CloudLinux が、公開されたコードで管理者の権限を取れたことを確かめたと発表した |
| 10 月 21 日 | ZDI が、Linux カーネルの 5 つの脆弱性の報告を、カーネルのセキュリティチームと公開のメーリングリストに送った |
ZDI が自分たちの発表をいつ出すかについてです。ZDI の報告の末尾には、報告した日から 120 日以内に直すようメーカーに求め、期限までに修正が出なければ、ZDI が回避策を添えた限られた内容の発表を出すと書かれています。公開予定の一覧の期限（2027 年 2 月 18 日）は、この 120 日にあたります（この記事での整理）。
自社の NAS・ファイルサーバー・Linux のサーバーが ksmbd を使っているかの確かめ方
ここからは、ksmbd の 2 つに当てはまるかを判断するための整理です（この記事での整理）。ksmbd の 2 つは、ksmbd を動かしているときにだけ関係します。Linux のサーバーでファイル共有をしていても、Samba を使っているなら、今回の ksmbd の報告の対象ではありません。Windows のサーバーのファイル共有は、Linux カーネルの問題とは別のものです。
NAS・保守を任せているサーバーの場合
NAS の多くは中で Linux が動いていますが、ファイル共有に ksmbd と Samba のどちらを使っているかは製品や版によって違いうるもので、管理の画面からは分からないことが多いです。自分で調べようとせず、下の問い合わせ文のひな形で、NAS のメーカーか保守会社に聞くのが確実です（この記事での整理）。
自分で管理している Linux のサーバーの場合
SSH で入った画面で、上から順に確かめます。1 番目と 2 番目は Red Hat のナレッジ記事に載っている確かめ方で、3 番目以降はこの記事での整理です。分からなければ、無理に操作せず、保守会社に聞いてください。動いている Linux カーネルのバージョンは「uname -r」で確認できます。
| 確かめること | 打つコマンド | 結果の読み方 |
|---|---|---|
| 1. カーネルに ksmbd が組み込まれているか | grep SMB_SERVER /boot/config-$(uname -r) | 「CONFIG_SMB_SERVER is not set」か、何も出なければ入っていない。「CONFIG_SMB_SERVER=m」か「=y」なら入っている。「CONFIG_SMB_SERVER_SMBDIRECT=y」があれば SMB Direct も入っている |
| 2. ksmbd のモジュールがあるか | modinfo ksmbd | 「Module ksmbd not found」と出れば、モジュールとしては入っていない |
| 3. 今、ksmbd が読み込まれているか | lsmod | grep ksmbd | 何も出なければ、モジュールの ksmbd は読み込まれていない。1 番目で「=y」（カーネルに直接組み込み）だった場合は、この方法では分からないので 4 番目で確かめる |
| 4. ksmbd のサービスが動いているか | ps -e | grep ksmbd | ksmbd.mountd（ksmbd の利用者側のプログラム）や、ksmbd という名前のカーネルの処理が出れば、ksmbd が動いている |
| 5. ファイル共有の受け口（445 番）を何が開けているか | sudo ss -ltnp | grep :445 | 「smbd」と出れば Samba。445 番が開いているのにプログラムの名前が出ない場合は、カーネルの中の ksmbd の可能性がある |
| 6. SMB Direct（RDMA）を使える機器があるか | rdma link show | 何も出ないか、コマンドが無ければ、RDMA の機器は使っていないと考えられる。データセンター向けの高速な機器で使う仕組みで、ふつうの社内のサーバーで使うことは少ない |
ksmbd が動いていた場合は、次に設定を確かめます（この記事での整理）。ksmbd の設定は ksmbd.conf というファイル（パッケージで入れた場合は /etc/ksmbd/ksmbd.conf のことが多く、Linux カーネルの文書の手順で入れた場合は /usr/local/etc/ksmbd/ksmbd.conf）に書かれています。ゲストで入れる共有があるか（guest ok などの設定）と、書き込める共有があるかを確かめます。設定の書き方は ksmbd.conf の説明書（man ksmbd.conf）で確かめてください。
ksmbd とは｜Samba との違いの早見表
ksmbd と Samba は、どちらも Linux で Windows と同じファイル共有（SMB）を提供するソフトですが、動く場所が違います。Linux カーネルの文書と Samba の公式サイト、Red Hat のナレッジ記事の説明をもとに、違いを並べました（表にまとめたのはこの記事での整理）。
| 項目 | ksmbd | Samba |
|---|---|---|
| 動く場所 | Linux カーネルの中。ファイルの読み書きなど速さに関わる処理をカーネルで行い、利用者のアカウントの管理などは ksmbd.mountd という利用者側のプログラムが受け持つ | カーネルの外で動く、利用者側のプログラム。ファイル共有の中心は smbd というプログラム |
| カーネルに入った時期 | 2021 年に Linux カーネルに入った（Red Hat の説明）。カーネルの設定の画面では「EXPERIMENTAL（試験的）」と表示される | カーネルとは別のソフト。1992 年から公開されている |
| 設定のファイル | ksmbd.conf（ksmbd-tools という道具で管理する） | smb.conf |
| SMB の版 | SMB2.1・SMB3.0・SMB3.1.1。脆弱な SMB1 は意図して対象外にしている | SMB と Active Directory の機能を幅広く備える |
| Active Directory | アクセス権の仕組みは単独のサーバー向けで、ドメインのメンバーには対応していない（Linux カーネルの文書） | ドメインコントローラーにも、メンバーのサーバーにもなれる |
| SMB Direct（RDMA） | 対応している（今回の ZDI-CAN-33549 はこの部分） | 今回の報告では触れられていない |
| 今回の報告 | ZDI-CAN-33774 と ZDI-CAN-33549 の対象 | 対象として挙がっていない |
読み方の補足です。Samba を使っているサーバーでも、カーネル自体は今回のほかの 3 つ（権限昇格など）に関係しうるので、カーネルの更新は別に必要です。また、Samba の脆弱性は Samba の発表で別に追います（この記事での整理）。
修正が出るまでの回避策（公式どおりの一覧）
修正したカーネルが届くまでの間にできることを、公式に書かれている条件と回避策のとおりに並べました。表にまとめたのは、この記事での整理です。
| 報告 | 公式に書かれている条件 | 公式に書かれている回避策と、その出典 |
|---|---|---|
| ZDI-CAN-33774（ksmbd） | 処理の順番の食い違いを起こすことと、ゲストで入れる共有（ZDI の報告） | 回避策としての記載はない。Linux カーネルの文書には、ksmbd を止める方法（ksmbd.control -s で利用者側とカーネル側の両方を止める）が載っている。使っていない ksmbd を止めることと、ゲストで入れる共有をなくすことは、条件から考えた この記事での整理 |
| ZDI-CAN-33549（ksmbd の SMB Direct） | RDMA に対応した機器、書き込める共有、SMB Direct の 3 つがそろうこと（ZDI の報告） | Red Hat は、必要な 2 つの設定（CONFIG_SMB_SERVER_SMBDIRECT・CONFIG_RDMA_RXE）が標準で無効のため、標準の Red Hat Enterprise Linux は影響を受けないとしている。SMB Direct を使っていない場合に有効にしないことは、この記事での整理 |
| ZDI-CAN-33367（skb_zerocopy） | サーバーにふつうの利用者としてログインできること。試すためのコードは、権限のない利用者が自分用の名前空間（user namespace）を作れることを使う（AlmaLinux・CloudLinux） | AlmaLinux は、IPsec を使っていなければ esp4・esp6 というモジュールを読み込ませない設定を示している（IPsec を使う環境では通信が止まる）。CloudLinux は、user.max_user_namespaces を 0 にする設定を示している（ふつうの利用者が動かすコンテナなどが使えなくなる） |
| ZDI-CAN-34068（vmwgfx） | サーバーにログインできる利用者が使う、権限昇格の問題（ZDI の報告の評価）。VMware の仮想マシンの画面表示のドライバーの問題 | この記事で確かめた公式の情報には、回避策の記載はない |
| ZDI-CAN-34076（nvmet） | 公式の情報に条件の記載はない。NVMe のストレージをネットワーク越しに貸し出す機能（nvmet）を使っているサーバーに関係すると考えられる（この記事での整理） | この記事で確かめた公式の情報には、回避策の記載はない |
回避策を使う前の注意です。どの回避策も、使っている機能が止まることがあります。とくに esp4・esp6 を止める設定や user.max_user_namespaces を 0 にする設定は、VPN やコンテナを使っているサーバーで影響が出ます。保守会社と相談してから行い、修正したカーネルに更新して再起動したら、元に戻すかどうかも決めておきます（この記事での整理）。
ksmbd を使っているサーバーで、修正が届くまでにやること
公式の条件をもとに、作業の順に並べました（順番と、発表に無い補足は この記事での整理）。
- ksmbd を使う必要があるかを決める。Samba で足りる、使っていないなら、ksmbd を止めて、起動のたびに動かないようにする
- 使い続けるなら、ゲストで入れる共有をなくし、共有ごとに利用者とパスワードを決める
- ファイル共有の受け口（445 番）が、インターネットや信頼できないネットワークから届かないよう、ルーターやファイアウォールで閉じる。外から使うときは VPN を通す
- SMB Direct を使っていなければ、有効にしない
- 使っている Linux の配布元のセキュリティのお知らせを見て、修正したカーネルが出たら更新し、再起動する
保守会社・NAS メーカーへの問い合わせ文のひな形
NAS やファイルサーバーの保守を任せている会社、または NAS のメーカーのサポートに、そのまま送れる文面にしました（この記事での整理）。［ ］の中は自社に合わせて埋めます。ksmbd と Samba のどちらを使っているかと、外から届くかどうか、修正の予定を一度に聞くのがこつです。
ひな形（この記事での整理）
件名：Linux カーネルの脆弱性（ksmbd・ZDI-CAN-33774 ほか）への対応状況の確認のお願い
［会社名］ ［担当者名］様
いつもお世話になっております。［自社名］の［名前］です。2026 年 10 月 21 日に、トレンドマイクロの Zero Day Initiative（ZDI）から、Linux カーネルの未修正の脆弱性の報告（ksmbd の ZDI-CAN-33774・ZDI-CAN-33549 ほか）が公開のメーリングリストに送られたと知りました。お願いしている［NAS の型番・サーバーの名前］について、次の点を教えていただけますでしょうか。
- ファイル共有（SMB）に、ksmbd（Linux カーネルの中の SMB サーバー）と Samba のどちらを使っているか
- ksmbd を使っている場合、ゲストで入れる共有や、SMB Direct（RDMA）を使う設定があるか
- ファイル共有の受け口（445 番）が、インターネットから届く状態になっていないか
- 修正が出るまでの対応（止める・設定を変えるなど）の要否と、修正を含むファームウェアやカーネルの提供・適用の予定
- 社員などがログインできる Linux のサーバーがある場合、権限昇格の件（ZDI-CAN-33367）への対応の予定
- 今回の作業が、保守の契約の範囲に入るか、別の費用になるか
対応が終わりましたら、適用したファームウェアやカーネルの版をお知らせいただけますと助かります。お忙しいところ恐れ入りますが、よろしくお願いいたします。
返事が来たあとの読み方です（この記事での整理）。
- 「Samba を使っている」 ksmbd の 2 つには当たらない。返事の日付と内容を控えておき、カーネルの定期の更新が続いているかだけ確かめる。
- 「ksmbd を使っている」 ゲストの共有と SMB Direct の有無、445 番が外から届くかを確かめてもらい、修正の予定日を決めてもらう。止められるなら、修正が届くまで止める案も相談する。
- 「メーカーに確認中」 いつまでに返事をもらえるかを聞いておく。その間は、445 番を外から届かないようにしておくと安心。
- 「ファームウェアの更新で直す」 更新の予定日と、更新の間にファイルを使えなくなる時間を聞いておく。更新の前に、大事なファイルのバックアップがあるかも確かめる。
次に読む：サーバーの土台のソフトの脆弱性（Node.js の Brotli） ／ 同じ時期に出た PHP の重大な脆弱性
自社で見直すこと
今回は、修正も CVE の番号も無いうちに、詳しい情報が公開されました。CVE の番号やメーカーのお知らせを待つだけでは、気づくのが遅れることがあります。社内のファイル共有は、ふだん目に入らないぶん、どの仕組みで動いているかが分からなくなりやすいところです（この記事での整理）。
- ファイル共有の仕組みを書き出す NAS やファイルサーバーの型番、ファームウェアや OS の版、ファイル共有のソフト（ksmbd・Samba・Windows など）、保守の連絡先を一覧にしておく。今回のような名前が出たときに、すぐ当たりがつけられる。
- ファイル共有を外に出さない ファイル共有の受け口（445 番）を、インターネットから直接届かないようにしておく。外から使う場合は VPN を通す。修正が間に合わないときの守りになる。
- 更新を誰がいつ行うかを決めておく NAS のファームウェアやサーバーのカーネルの更新が、保守の範囲に入っているか、入っていないなら誰に頼むのかを決めておく。更新の前のバックアップの手順も一緒に確かめる。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、Linux カーネルのような土台のソフトの脆弱性の情報を追い、更新を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
