2026年8月から9月にかけて、Linuxカーネルの権限昇格に関する脆弱性(CVE-2026-68162・CVE-2026-53362など)が相次いで報告され、米CISAが3日以内の対応を求める事態も起きています。こうした状況では、権限管理の要であるsudoと、遠隔操作の入り口になるssh(OpenSSH)のバージョンが古いまま放置されていないかも見落とせません。この記事ではsudo -Vとssh -Vでインストール済みバージョンを確認し、Ubuntu Security Notice(USN)やDebian Security Advisory(DSA)と突き合わせて、自分のサーバーが既知の脆弱性に対応済みかを見分ける手順をまとめます。

なぜ今sudoとsshのバージョン確認が必要なのか

2026年5月から9月にかけて、Linuxカーネルの権限昇格(privilege escalation)の脆弱性がいくつも報告されています。たとえばCVE-2026-53362(通称Frag Gap、CVSSスコア7.8)は、低い権限のユーザーがroot権限を取得できてしまう脆弱性で、CISAは2026年8月27日に悪用が確認された脆弱性カタログ(KEV)へ追加し、3日以内の対応を求めました。またCVE-2026-68162(SCTPのUse-After-Free、CVSSスコア7.8)は、2026年9月4日にUbuntu向けの実証コード(PoC)がGitHub上で公開されています。

権限昇格の脆弱性は「侵入されたあと、どこまで被害が広がるか」を左右します。sudoは権限を切り替えるための司令塔、sshは外部から接続するための玄関にあたるため、この2つが古いバージョンのまま残っていると、たとえ他の対策をしていても弱点になり得ます。Googleの子会社Mandiantが2026年4月に公開した「M-Trends 2026」レポートでは、攻撃者が侵入してからランサムウェアを展開するまでの時間が2022年の8時間超から2025年には中央値でわずか22秒まで短縮したと報告されており、「気づいてから直す」では間に合わない場面が増えています。まずは今のバージョンを把握するところから始めます。

sudo -V / ssh -V でインストール済みバージョンを確認する

どちらもroot権限は不要で、実行しても設定は一切変更されません。何度実行しても安全です。

sudo -Vの読み方

sudo -V

このコマンドは「今このマシンに入っているsudoのバージョン番号」を表示するだけのものです。出力例(架空の値です):

Sudo version 1.9.15p5
Sudoers policy plugin version 1.9.15p5
Sudoers file grammar version 50
Sudoers I/O plugin version 1.9.15p5
Sudoers audit plugin version 1.9.15p5

見るところ:先頭行の「Sudo version 1.9.15p5」がバージョン番号です。この数字を後述のUSN・DSAの記載と突き合わせます。

ssh -Vの読み方

ssh -V

こちらはOpenSSHクライアントのバージョンを表示します。出力例(架空の値です):

OpenSSH_9.6p1, OpenSSL 3.0.13 30 Jan 2024

見るところ:「OpenSSH_9.6p1」の部分がバージョンです。サーバー側(sshd)のバージョンも同じパッケージから来るので、クライアントと合わせて確認しておきます。なお2026年6月にリリースされたUbuntu 26.04 LTSでは、標準搭載のOpenSSHが10.2系に上がり、鍵交換アルゴリズムの既定が耐量子暗号を組み込んだsntrup761x25519-sha512@openssh.comになるなど、古い暗号方式の削除が進んでいます。バージョンが大きく古い場合、こうした新しい防御機構自体が使えていない可能性もあります。

ディストリビューションが独自に付けている詳細なパッケージバージョン(セキュリティ修正の有無はこちらで判断します)は、次のコマンドで確認できます。

dpkg -l sudo openssh-server openssh-client | tail -n +6

見るところ:バージョン欄が「1.9.15p5-3ubuntu5.24.04.3」のようにubuntuやdebを含む形式なら、ディストリビューション側の修正が当たったパッケージです。数字が更新されていなければ、次章のUSN・DSAと照らし合わせて未パッチかどうかを確認します。

USN・DSA番号と突き合わせて未パッチを見分ける

バージョン番号だけを見ても「何のCVEが直っているか」までは分かりません。ディストリビューションが出す公式のセキュリティ告知(UbuntuならUSN=Ubuntu Security Notice、DebianならDSA=Debian Security Advisory)と突き合わせる必要があります。

Ubuntuの場合:USN一覧とapt changelog

  • ブラウザでubuntu.com/security/noticesを開き、検索欄に「sudo」または「openssh」と入力すると、過去のUSNが新しい順に並びます。各USNのページには「Ubuntu 24.04 LTSでは1.9.15p5-3ubuntu5.24.04.3に更新すれば直る」といった形で、対象バージョンが明記されています。
  • ターミナルからは、パッケージの更新履歴(changelog)にCVE番号が書かれているかを見る方法もあります。
apt changelog sudo | head -n 30

見るところ:一番上のエントリの日付とバージョンが、dpkg -lで確認した現在のバージョンと一致していれば、少なくともそのエントリまでの修正は適用済みです。エントリの説明文に「CVE-」で始まる番号があれば、それが直った脆弱性です。apt list --upgradableで更新漏れ点検2026と合わせて、そもそも更新が保留になっていないかも確認しておくと確実です。

Debianの場合:DSA一覧とsecurity-tracker

  • DebianのセキュリティトラッカーサイトでもCVEごとの対応状況を確認できます。ブラウザでsecurity-tracker.debian.org/tracker/source-package/sudo(またはopenssh)を開くと、CVE番号ごとに「fixed」「vulnerable」などのステータスが一覧で出ます。
  • apt changelogコマンドはDebianでも同様に使えます。
apt changelog openssh-server | head -n 30

Debian 12(Bookworm)は現行の安定版です。ディストリビューションのバージョン(Ubuntu 24.04 LTSかDebian 12かなど)によって、直っている脆弱性の範囲が異なる点に注意してください。同じ「sudoの最新版」でも、ディストリビューションが違えばバージョン表記も対応済みのCVEも変わります。

ディストリビューション

公式告知の名称

調べ方

Ubuntu

USN(Ubuntu Security Notice)

ubuntu.com/security/notices で検索、またはapt changelog

Debian

DSA(Debian Security Advisory)

security-tracker.debian.org で検索、またはapt changelog

未パッチだった場合の更新と、元に戻す方法

USN・DSAと突き合わせて古いバージョンのままだと分かった場合の対応です。sudo権限が必要で、パッケージのバージョンが変わる(設定ファイルは基本的に変更されません)点を理解した上で実行してください。

sudo apt update
sudo apt upgrade sudo openssh-server openssh-client
  • SSH接続中に実行する場合の注意:openssh-serverの更新後はsshdの再起動が必要になることがありますが、通常は既存の接続中セッションが切れることはありません。それでも心配な場合は、更新前にコンソール(物理画面やクラウドのシリアルコンソールなど、SSH以外の経路)を確保してから作業すると安全です。
  • 元に戻す方法:バージョンアップだけなら設定変更を伴わないため、基本的に「戻す」操作は不要です。どうしても以前のバージョンに戻したい場合はapt-get install パッケージ名=バージョン番号で指定インストールできますが、脆弱性が直る前の状態に戻すことになるため、通常は行いません。
  • 更新後はsudo -V・ssh -Vをもう一度実行し、バージョンが上がっていることを確認します。

SSHは今も日常的に狙われている入り口です。SANS ISCのハニーポットの記録では、2026年2月17日から5月26日までの100日間だけで2000万件を超えるSSHへの総当たり攻撃(ブルートフォース)が観測されています。バージョンの点検と合わせて、実際にログイン試行が来ていないかはSSH総当たり攻撃をjournalctlで即検知2026年9月版でも確認しておくと安心です。

まとめ

権限昇格の脆弱性が相次ぐ2026年の状況では、sudo -Vとssh -Vでバージョンを把握し、Ubuntuなら USN、Debianなら DSA と突き合わせることが、既知の脆弱性への対応漏れを防ぐ最短ルートです。どちらのコマンドも読み取るだけで設定を変えないため、初めてでも安心して試せます。バージョンが古ければsudo apt update && sudo apt upgradeで更新し、更新後にもう一度バージョンを確認する。この一往復を定期的な習慣にしておくと、次に新しいCVEが報じられたときにも落ち着いて自分のサーバーの状況を判断できます。