The Hacker Newsは2026年7月22日、UbuntuのSnap実行環境「snap-confine」における権限昇格の脆弱性「CVE-2026-8933」を報じました。本記事では同報道に加え、Canonical（Ubuntu）公式のセキュリティ通知（USN-8579-1）およびQualysのアドバイザリに基づき、対象環境と対応手順をまとめます。攻撃には対象端末へのユーザー権限でのアクセスが必要ですが、悪用された場合はシステム上で任意のコードをrootとして実行され、端末全体を制御される可能性があります。
The Hacker News：Ubuntu snap-confine Flaw Could Give Local Users Root on Default Desktop Installs
この記事のポイント
影響のあるシステム
- Ubuntu 22.04 LTSで、影響を受けるset-capabilities版のsnap-confineを含む環境
- Ubuntu Desktop 24.04 LTSで、影響を受けるsnapdへ更新されている環境
- Ubuntu Desktop 25.10
- Ubuntu Desktop 26.04 LTSの標準インストール環境
- snapdおよびsnap-confineがインストールされているUbuntu端末
- 一般ユーザー、開発者、委託先など、信頼できない利用者がログインできるUbuntu端末
- リモートアクセスや別の脆弱性を通じて、攻撃者が一般ユーザー権限を取得したUbuntu端末
- 従業員用ワークステーション、開発端末、管理端末、共有端末
- Ubuntu Desktopを使用する仮想デスクトップや検証環境
QualysはUbuntu Desktop 24.04、25.10、26.04の標準構成を影響対象として挙げています。一方、Canonicalの公式セキュリティ情報ではUbuntu 22.04 LTS、24.04 LTS、26.04 LTSが影響対象として掲載されています。Ubuntu 25.10は2026年7月9日にサポートを終了しているため、セキュリティ更新を待つのではなく、Ubuntu 26.04 LTSへ移行する必要があります。
推奨される対策
- Ubuntuのパッケージ情報を更新し、snapdを含む最新のセキュリティ更新を適用する
- Ubuntu 22.04 LTSではsnapd 2.76+ubuntu22.04.1以降であることを確認する
- Ubuntu 24.04 LTSではsnapd 2.76+ubuntu24.04.1以降であることを確認する
- Ubuntu 26.04 LTSではsnapd 2.76+ubuntu26.04.3以降であることを確認する
- アップデート後に端末を再起動する
- Ubuntu 25.10を使用している場合は、サポート対象のUbuntu 26.04 LTSへアップグレードする
- 過去に更新済みであることだけを根拠にせず、現在インストールされているsnapdのバージョンを確認する
- 一般ユーザーが利用するUbuntu端末を資産管理システムなどで洗い出す
- 開発者端末や管理端末へ不要な一般ユーザーアカウントを作成しない
- SSH、VDI、リモート管理ツールなど、端末へアクセスできるアカウントを確認する
/run/udev/rules.d/に作成された不審なルールファイルを調査する- 不審なFUSEマウント、シンボリックリンク、snap-confineの異常実行を監視する
- 侵害が疑われる場合は端末を隔離し、root権限での不審なプロセスや永続化設定を調査する
Canonicalは、通常のシステムアップデートを実行した後、必要な変更をすべて反映するためにコンピューターを再起動するよう案内しています。更新プログラムを配布しただけで完了とせず、対象端末のsnapdバージョンと再起動状況まで確認することが重要です。
この記事に出てくる専門用語
- CVE-2026-8933：Ubuntuのsnap-confineに存在するローカル権限昇格の脆弱性です。一般ユーザー権限を持つ攻撃者が悪用すると、root権限で任意のコードを実行できる可能性があります。CVSS基本値は7.8です。
- snapd：UbuntuなどのLinux環境で、Snap形式のアプリケーションをインストール、更新、管理するバックグラウンドサービスです。
- snap-confine：Snapアプリケーションを実行する際に、ファイルや権限を制限した隔離環境を構築するsnapdの内部プログラムです。
- Snap：Canonicalが開発したLinux向けのアプリケーション配布形式です。必要な依存関係をまとめて配布し、アプリケーションをサンドボックス内で動作させます。
- ローカル権限昇格：対象端末へすでにログインしている一般ユーザーや、限定的なコード実行権限を持つ攻撃者が、管理者権限を取得する攻撃です。
- root：Linuxシステム上で最も強い権限を持つ管理者アカウントです。root権限を取得されると、ほぼすべてのファイルや設定を操作される可能性があります。
- 競合状態：複数の処理がほぼ同時に実行される際、その順番やタイミングによって本来とは異なる結果が生じる問題です。「レースコンディション」とも呼ばれます。
- FUSE：Filesystem in Userspaceの略称で、一般ユーザー空間のプログラムから独自のファイルシステムを提供するLinuxの仕組みです。
- シンボリックリンク：別のファイルやディレクトリを参照するリンクです。不適切に処理されると、攻撃者がシステムの書き込み先を重要なファイルへ変更できる場合があります。
- マウント名前空間：プロセスごとに、参照できるファイルシステムのマウント構成を分離するLinuxの機能です。コンテナやサンドボックスの隔離に使用されます。
- AppArmor：プログラムごとにアクセス可能なファイルや操作を制限するLinuxの強制アクセス制御機能です。
- systemd-udevd：Linuxへ接続されたデバイスを検出し、定義されたルールに従って処理するシステムサービスです。通常はroot権限で動作します。
- set-capabilities：プログラムへroot権限全体を与えず、必要な特権機能だけを細かく付与するLinuxの仕組みです。
- 最小権限の原則：利用者やプログラムへ、業務や処理に必要な最小限の権限だけを与えるセキュリティの考え方です。
一般ユーザーからroot権限へ昇格する脆弱性
CVE-2026-8933は、ネットワークから直接侵入するリモートコード実行の脆弱性ではありません。悪用するには、攻撃者が対象のUbuntu端末上で一般ユーザーとしてログインしているか、別の手段によって一般ユーザー権限でコードを実行できる状態にあることが前提です。
しかし、攻撃が成功した場合の影響は重大です。root権限を取得した攻撃者は、システムファイルの変更、セキュリティ機能の無効化、認証情報の窃取、マルウェアの設置、他の利用者データへのアクセスなどを行える可能性があります。端末を継続的に制御するための設定を追加されるおそれもあります。
企業環境では、フィッシング、認証情報の窃取、ブラウザやアプリケーションの脆弱性などを通じて、攻撃者が最初に限定的なユーザー権限を取得する場合があります。CVE-2026-8933は、その限定的な侵入を端末全体の侵害へ拡大する手段として悪用される可能性があります。
特に、ソースコード、SSH鍵、クラウド認証情報、管理用証明書などを保存している開発者端末や管理端末では、root権限の奪取が他のシステムへの侵害につながる可能性があります。外部公開サーバーだけでなく、従業員が日常的に使用するUbuntu Desktopも対応対象に含める必要があります。
出典：Ubuntu Security「CVE-2026-8933」、Qualys「CVE-2026-8933: Local Privilege Escalation in Set-Capabilities snap-confine」
安全性を高める変更が競合状態を生んだ可能性
snap-confineは、Snapアプリケーションを起動する際に、アプリケーションがアクセスできるファイルやシステム機能を制限した実行環境を構築します。近年のUbuntuでは、snap-confineへroot権限全体を与える従来の方式から、処理に必要な権限だけを付与するset-capabilities方式への移行が進められました。
この変更は最小権限の原則に沿って攻撃対象を減らすことを目的としていました。一方、Qualysによると、変更後のsnap-confineは、呼び出した一般ユーザーの実効ユーザーIDで動作しながら、rootに近い強力な機能を一時的に保持する状態になります。
サンドボックスの初期化中には、/tmp配下へ一時的なディレクトリやファイルが作成されます。これらは作成直後には一般ユーザーが所有し、その後rootへ所有権が移されます。問題となったのは、作成から所有権変更までの短い時間に、呼び出したユーザーが対象を操作できる状態が残っていたことです。
攻撃者は処理のタイミングを精密に合わせることで、本来はroot管理へ移行する一時領域を制御し続け、snap-confineに意図しないファイル操作を行わせることができます。脆弱性の深刻度はCVSS 7.8のHighと評価されており、攻撃の複雑さはLow、利用者による追加操作は不要とされています。
出典：Ubuntu Security「CVE-2026-8933」、Qualys「CVE-2026-8933: Local Privilege Escalation in Set-Capabilities snap-confine」
FUSEとシンボリックリンクを組み合わせて書き込み先を変更
Qualysが示した攻撃では、二つの競合状態が組み合わされています。最初の段階で、攻撃者はsnap-confineが一時作業用ディレクトリを作成した直後に、その場所へ悪意あるFUSEファイルシステムをマウントします。これにより、後からsnap-confineがマウント名前空間による隔離を行っても、攻撃者がサンドボックス外から対象ディレクトリへアクセスできる状態を維持します。
次に攻撃者は、snap-confineが作成しようとするファイルの場所へシンボリックリンクを配置します。シンボリックリンクの参照先を重要なシステムファイルへ向けることで、snap-confineのファイル作成処理を、本来とは異なる場所へ誘導します。
snap-confineがファイルを開く際、リンクをたどって参照先へ書き込みます。さらに、rootへ所有権が移される前の短い時間を利用し、対象ファイルの権限を0666へ変更することで、一般ユーザーから書き込み可能な状態を作ると説明されています。
攻撃者はこの処理を利用して、AppArmorの制限内でも書き込みが許可される/run/udev/配下を標的にします。/run/udev/rules.d/へ悪意あるルールファイルを作成し、FUSEのマウントやアンマウントを発生させることで、root権限で動作するsystemd-udevdに任意のコマンドを実行させる流れです。
出典：Qualys「CVE-2026-8933: Local Privilege Escalation in Set-Capabilities snap-confine」、Qualys Security Advisory「snap-confine set-capabilities」
影響バージョンは調査元とCanonicalで確認範囲が異なる
Qualysは、set-capabilities方式のsnap-confineが標準で導入されているUbuntu Desktop 24.04、25.10、26.04を影響対象として挙げています。Ubuntu Desktop 24.04については、影響を受けるsnapdパッケージへ更新されたシステムが対象と説明されています。
一方、Canonicalが公開したCVE情報とUbuntu Security Noticeでは、CVE-2026-8933の影響対象としてUbuntu 22.04 LTS、24.04 LTS、26.04 LTSが掲載されています。Ubuntu 20.04 LTS、18.04 LTS、16.04 LTSについては、この脆弱性の影響を受けないとされています。
Ubuntu 25.10がCanonicalのセキュリティ情報へ掲載されていないのは、安全であることを意味しません。Ubuntu 25.10は2026年7月9日にサポートを終了しており、以後はUbuntu Security Noticeや更新パッケージの対象外となっています。Qualysの調査では標準環境が影響を受けるとされているため、25.10を継続使用せず、サポート対象のUbuntu 26.04 LTSへアップグレードする必要があります。
今回のように、同じUbuntuのリリースでも、snapdの更新履歴やsnap-confineの権限設定によって影響状況が変わる場合があります。OSのリリース年月や過去のアップデート実績だけで判断せず、実際にインストールされているsnapdのバージョンを確認することが重要です。
出典：Ubuntu Security「CVE-2026-8933」、Ubuntu Security Notice「USN-8579-1」、Ubuntu Community「Ubuntu 25.10 reached End of Life」
修正済みsnapdへの更新と再起動が必要
Canonicalは2026年7月21日、CVE-2026-8933を含む複数のsnapd脆弱性を修正する「USN-8579-1」を公開しました。Ubuntu 22.04 LTSではsnapd 2.76+ubuntu22.04.1、Ubuntu 24.04 LTSでは2.76+ubuntu24.04.1、Ubuntu 26.04 LTSでは2.76+ubuntu26.04.3が修正版として示されています。
端末では、次のようなコマンドを使用してシステムを更新できます。実際の運用では、組織の変更管理手順やパッケージ管理方針に従って実施してください。
sudo apt update
sudo apt full-upgrade
sudo reboot再起動後は、次のコマンドなどでsnapdのインストールバージョンを確認できます。
dpkg-query -W -f='${Version}\n' snapdパッケージ配布システムや資産管理ツールを使用している企業では、更新ジョブの成功だけでなく、各端末に修正版が導入されたことと、再起動が完了したことを確認してください。長期間起動したままの開発端末や、利用者が更新を延期できるデスクトップでは、パッケージを配布しても古いプロセスが残っている場合があります。
Ubuntu 25.10についてはセキュリティ更新が提供されないため、通常のパッケージ更新だけでは対応できません。公式に案内されているアップグレード経路を使用し、Ubuntu 26.04 LTSへ移行する必要があります。
出典：Ubuntu Security Notice「USN-8579-1: snapd vulnerabilities」、Ubuntu Community「Ubuntu 25.10 reached End of Life」
侵害が疑われる端末では更新だけで終わらせない
CVE-2026-8933を修正するアップデートは、今後の悪用を防ぐために必要です。しかし、更新前に攻撃者がroot権限を取得していた場合、パッチを適用しても、すでに追加された不正なアカウント、サービス、スケジュール実行、SSH鍵、カーネルモジュールなどが自動的に削除されるわけではありません。
一般ユーザーアカウントの侵害、不審なローカルコード実行、マルウェア感染などが確認されている端末では、単なるパッケージ更新で対応を完了させず、端末をネットワークから隔離して調査する必要があります。特に、/run/udev/rules.d/へ作成された不審なルール、異常なFUSEマウント、snap-confineの実行履歴、root権限で起動された未知のプロセスなどを確認します。
開発者端末の場合は、保存されていたSSH秘密鍵、Git認証情報、クラウドアクセスキー、コンテナレジストリのトークン、コード署名用の証明書などが窃取されていないかを確認する必要があります。侵害の可能性を否定できない場合は、別の安全な端末から認証情報を失効または更新してください。
root権限での侵害が確認された端末は、攻撃者による変更を完全に把握することが難しい場合があります。重要な業務端末では、証拠を保全したうえで、信頼できるインストール媒体と構成情報からOSを再構築することも検討する必要があります。
出典：Ubuntu Security「CVE-2026-8933」、Qualys「CVE-2026-8933: Local Privilege Escalation in Set-Capabilities snap-confine」
参考文献・記事一覧
- The Hacker News：Ubuntu snap-confine Flaw Could Give Local Users Root on Default Desktop Installs
- Ubuntu Security：CVE-2026-8933
- Ubuntu Security Notice：USN-8579-1: snapd vulnerabilities
- Qualys：CVE-2026-8933: Local Privilege Escalation in Set-Capabilities snap-confine
- Qualys Security Advisory：snap-confine set-capabilities
- Ubuntu Community：Ubuntu 25.10 reached End of Life on 9 July 2026
- Snapcraft Documentation：Classic confinement
- Linux Kernel Documentation：FUSE
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
