Linuxカーネルの脆弱性「CVE-2026-99999」（通称「PwnEscape」）で、さくら・KAGOYA・ConoHaが新規受付を一時停止

2026.10.21
71 views

10月16日から、レンタルサーバーやVPSの大手が、相次いで新規の受付を一時停止しています。

さくらインターネット（10月16日〜）
KAGOYA（10月19日18時〜）
ConoHa（10月19日〜）

原因は、Linuxカーネルの脆弱性「CVE-2026-99999」（通称「PwnEscape」）です。深刻度は10点満点で9.3（Critical）。

先に結論を言うと、いま使っているサーバーは、そのまま使えます。どの会社も、止めたのは「新規の申し込み」だけです。ただ、ホスト側のメンテナンスで、サーバーが一時的に止まることがあるので、事業者からのメールは見逃さないようにしましょう。

新規受付停止の経緯

経過をまとめると、こうなります。

日付	内容
10月15日	脆弱性（CVE-2026-99999）が公開される
10月16日	さくらインターネットが、VPS・レンタルサーバなどの新規申し込みと、さくらのクラウドの新規プロジェクト作成を一時停止
10月19日	KAGOYAが18時から、VPSなど5つのサービスの新規申し込みを一時停止。ConoHaも新規申し込みを一時停止
10月20日	さくらのクラウドが、新規プロジェクトの作成を再開

※2026年10月21日 9時時点。最新の状況は、各社のお知らせで確かめてください。

各社の受付停止状況

会社	新規受付を止めたサービス	再開
さくらインターネット	さくらのVPS（全リージョン。スケールアップや持ち込みISOも）、レンタルサーバ、マネージドサーバ	未定
	さくらのクラウド（新規プロジェクトの作成）	10月20日に再開
KAGOYA	KAGOYA CLOUD VPS、KAGOYA MAIL（ブロンズ・シルバー）、レンタルサーバー、desknet’s NEO専用サーバー、KAGOYA Chat	未定
ConoHa	新規申し込み	未定

どの会社も、いま契約しているサービスは通常どおり動いています。被害が出たという発表もありません。あくまで、予防のための停止です。

PwnEscapeとは

VPSやクラウドは、1台の大きなサーバー（ホスト）の上で、たくさんの人の仮想マシンを同居させる仕組みです。マンションに例えると、ホストが建物で、仮想マシンが1つ1つの部屋ですね。

PwnEscapeは、部屋（仮想マシン）の中から、建物（ホスト）の管理室に入れてしまうような脆弱性です。細工したネットワークのデータを送ると、ホストのメモリを書き換えられるおそれがあります。研究者の環境では、ホストの上でプログラムを動かすところまで確かめられたとのこと。

ホストを乗っ取られると、同じホストに同居しているほかの人の仮想マシンにまで手が届きかねません。事業者がまず新規の受付を止めて、ホストの修正を急いでいるのは、このためです。

ちなみに、この不具合は2008年のカーネル（2.6.27）からずっとあったんだとか。18年も見つからずにいたわけです。

なお、AWS（EC2・Lambda・Fargate）は「影響なし。利用者の対応は不要」と発表しています。

VPS利用者の対策

いまVPSやレンタルサーバーを使っている人が、やっておきたいことは3つです。

事業者からのメールを見逃さない

ホストを直すために、サーバーが一時的に止まるメンテナンスが入ることがあります。さくらのクラウドは、実施日の1週間前を目安にメールで案内するとしています。登録しているメールアドレスが、いま読めるものか確かめておきましょう。

自前のOSならカーネルを更新する

専用サーバーなど、OSを自分で管理している場合は、ディストリビューションのセキュリティ更新を入れて、再起動します。更新は、再起動するまで反映されません。

VPS内の更新だけでは防げない

今回の穴はホスト側にあります。VPSの中のOSを更新しても、ホストが直るわけではありません。ホストは事業者が直すものなので、メンテナンスの案内を待ちましょう。もちろん、VPSの中のOSも、いつもどおり最新にしておくのがおすすめです。

新規契約は再開待ち

これから新しくVPSやレンタルサーバーを借りる予定の人は、各社の受付が再開するまで待つのが一番です。

急ぐなら、受付を止めていない会社もあります。ただ、その場合も、その会社がPwnEscapeにどう対応しているかをお知らせのページで確かめてから申し込むと安心です。

まとめ

原因は、Linuxカーネルの脆弱性「CVE-2026-99999」（通称「PwnEscape」）。仮想マシンの中から、ホストを乗っ取れるおそれがある
さくら・KAGOYA・ConoHaが、新規の受付を一時停止（さくらのクラウドは10月20日に再開）
いま使っている人は、そのまま使える。メンテナンスのメールを見逃さない
OSを自分で管理している人は、カーネルを更新して再起動する
これから契約する人は、受付の再開を待つ

マンションの管理室の鍵を直すのは、大家さん（事業者）の仕事です。住人のわたくしたちは、お知らせのメールをちゃんと読む。これが、今日からできるいちばんの対策だと思います。

10月21日には、PHPにも「緊急」のセキュリティ更新が予告されました。WordPressを使っている人は、こちらもあわせてどうぞ。

2026.10.21

PHPの緊急セキュリティ更新が公開。8.5.12・8.4.27・8.3.36・8.2.35へ今すぐ更新を　WordPressの人は何をすればいい？

【追記：2026年10月21日 23時】PHPの修正版が公開されました。対象はPHP 8.5.12・8.4.27・8.3.36・8.2.35の4つです。脆弱性は、ログインなしで外からプログラムを動かされる（リモートコード実行）おそれがあるもので、開発チームは「すべてのPHPユーザーは今すぐ更新を」...

個人情報の漏えいも相次いでいます。タイムズカーの660万件の漏えいでは、漏れてしまったら個人でやるべき対策をまとめました。

2026.10.05

タイムズカーで660万件の情報漏えい。免許証が漏れたら個人でやるべき5つの対策

【追記：2026年10月21日】タイムズカーの漏えいのあと、信用情報機関への本人申告が殺到しています。全銀協（KSC）は9月29日にネットでの受付を一時休止し、JICCも10月初めにスマホアプリでの受付を一時止めました。CICは電話がつながりにくくなり、10月9日に回線を増やしたとのことです。漏え...