uname -aとlivepatchでカーネル点検2026年9月

「Ubuntu 24.04 LTSを使っているから大丈夫」——実はこれは半分しか合っていません。2026年に入ってもLinuxカーネルには重大な脆弱性が次々見つかっており、OS自体がサポート中でも、パッチが自分のサーバーに実際に当たっているかは別問題だからです。この記事ではuname -aとcanonical-livepatch status（環境によってはpro security-status）を使って、カーネルのバージョンとパッチ適用状況を初心者でも自分の手で確認する方法を、出力例つきで説明します。

2026年に見つかった主なカーネルの脆弱性

「動いているから安全」ではなく、「動いているカーネルに、既知の穴が塞がれないまま残っていないか」を見る必要があります。2026年に入ってから報告された、影響範囲の広いカーネル脆弱性を整理しました。

使っていない機能（SCTP・bondingなど）をモジュールごと無効化する具体的な手順は、以前書いたlsmodで不要カーネルモジュール点検2026年9月版で扱っています。まずは自分の環境がどのカーネルで動いているかを確認するところから始めます。

uname -aで今動いているカーネルを確認する

このコマンドは、今このマシンで実際に動いているカーネルのバージョンとビルド日時を見るものです。

uname -a

sudoは不要で、設定も変更しません。出力例（値はすべて架空のものです）は次のとおりです。

Linux myserver 6.8.0-51-generic #52-Ubuntu SMP PREEMPT_DYNAMIC Wed Aug 20 12:00:00 UTC 2026 x86_64 x86_64 x86_64 GNU/Linux

どこを見るか

• バージョン番号（例: 6.8.0-51）とビルド日時（例: Aug 20 2026）を見ます。同じ6.8系でも末尾の番号が古いままだと、その後に出たセキュリティ更新が未適用の可能性があります
• ビルド日時が数ヶ月以上前で、なおかつ後述の手順でも更新が見当たらない場合は、更新の取りこぼしを疑います

Ubuntu 24.04 LTSは6.8系、Debian 12（Bookworm）は6.1系がベースです。ディストリビューションによって基準となるメジャーバージョンが違うので、「6.8系だから古い」といった単純比較はできません。あくまで自分の環境の中で、更新が定期的に進んでいるかを見ます。

apt list --upgradableでセキュリティ更新の取りこぼしを確認する

このコマンドは、リポジトリ上にある新しいパッケージと、今インストールされているパッケージを比較し、更新可能なものを一覧するものです。securityという文字列で絞り込むと、セキュリティ更新だけが残ります。

apt list --upgradable 2>/dev/null | grep -i security

sudoは不要です（一覧を見るだけで、何も変更しません）。出力例です。

linux-image-generic/noble-security 6.8.0-52.53 amd64 [upgradable from: 6.8.0-51.52]
openssl/noble-security 3.0.13-0ubuntu3.7 amd64 [upgradable from: 3.0.13-0ubuntu3.6]

どこを見るか

• 1行でも表示されれば、その分だけセキュリティ更新が未適用ということです。特にlinux-imageで始まる行はカーネル本体の更新なので優先度が高いです
• 何も表示されなければ、その時点でのセキュリティ更新はすべて適用済みです

Ubuntu Proが入っている環境では

Ubuntu Advantage/Proのクライアントが入っている場合はpro security-statusでESM（延長セキュリティメンテナンス）を含めた未適用件数をまとめて見られます。以前はubuntu-security-statusという名前でしたが、ツールの世代交代でコマンド名が変わっているため、手元の環境でどちらが使えるかはwhich proやwhich ubuntu-security-statusで確認してください。

sshやsudoなど個別ソフトのバージョンを既知の脆弱性情報（USN）と突き合わせる方法はsudo/sshバージョン確認2026年9月版｜USN照合で脆弱性点検で扱っているので、あわせて確認すると点検の抜けが減ります。

canonical-livepatch statusで再起動なしパッチの適用状況を確認する

カーネルの更新は通常、再起動しないと反映されません。Canonicalが提供するLivepatchは、再起動せずにカーネルの重大な脆弱性だけを当てる仕組みです。このコマンドは、Livepatchが有効になっているか、直近のパッチが実際に当たっているかを見るものです。

sudo canonical-livepatch status --verbose

sudoが必要です。設定変更は行わず、状態を表示するだけです。有効化されている場合の出力例（値はすべて架空のものです）です。

client-version: 10.10.1
machine-id: 0123456789abcdef0123456789abcdef
architecture: x86_64
last-check: 2026-09-15T09:00:00Z
boot-time: 2026-09-01T08:00:00Z
uptime: 14d 3h 12m
status:
  - kernel: 6.8.0-51-generic
    running: true
    livepatch:
      checkState: checked
      state: applied
      version: "51.1"
      fixes:
      - name: CVE-2026-64564
        patched: true

どこを見るか

• state: appliedになっていれば、そのカーネルに対する既知のパッチは当たっています。state: applyingのまま長時間変わらない、またはunappliedと出ている場合は未適用です
• fixesの中に見覚えのあるCVE番号（例: CVE-2026-64564）がありpatched: trueなら、その脆弱性はこの端末では塞がれています

Livepatchをそもそも有効にしていない場合は、次のように表示されます。

$ canonical-livepatch status
Machine is not enabled. Please run `sudo canonical-livepatch enable <TOKEN>`

この場合は個人利用なら無料枠（Ubuntu Oneアカウントで取得できるトークンで最大5台まで）で有効化できます。有効化はsudo canonical-livepatch enableで行い、不要になればsudo canonical-livepatch disableで元の状態に戻せます。無効化してもカーネル本体は変わらないので、通常のOS更新には影響しません。

異常が見つかったときにやること

更新の取りこぼしやLivepatch未適用が見つかっても、慌てて手を加える必要はありません。順番に進めます。

1. 通常のセキュリティ更新を適用する：sudo apt update && sudo apt upgrade。sudoが必要で、パッケージが実際に更新されます。カーネルの更新が含まれる場合は再起動が必要になります
2. 再起動が必要か確認する：Ubuntu/Debianでは/var/run/reboot-requiredというファイルの有無で判断できます。存在すれば再起動が必要です
3. 再起動後、uname -aで新しいバージョンになったか確認する：更新前と後でビルド日時が変わっていれば反映されています
4. 再起動できない・したくない場合はLivepatchを検討する：前述の手順で有効化すれば、次のメンテナンス時期まで既知の重大な脆弱性だけ先に塞げます

IPAの調査では、中小企業のセキュリティパッチ適用率が31.3%にとどまっているというデータもあります。特別な事情がある場合を除き、「サポートされているOSだから」で止めず、実際にパッチが当たっているかまで見る習慣をつけておくと安心です。

まとめ

OSがサポート中でも、パッチが自分のサーバーに実際に当たっているとは限りません。uname -aでカーネルのバージョンを、apt list --upgradableで未適用のセキュリティ更新を、canonical-livepatch statusで再起動なしパッチの適用状況を、それぞれ数分で確認できます。どれも読み取るだけで設定を変えないコマンドなので、まずは自分の環境で一度試し、更新が見つかったら通常のapt upgradeから対応していくのがおすすめです。月1回程度の習慣にするだけでも、放置による取りこぼしはかなり減らせます。