新規申し込みが止まった。まだ何も起きていないのに

• 漏えいではない。脆弱性が公開されたことへの予防的な対応
• レンタルサーバとVPSの新規申し込みが止まっている
• 契約中のプランは通常どおり稼働している

さくらインターネットが10月16日、Linuxカーネルの脆弱性（CVE-2026-99999、同社の表記では通称「PwnEscape」）について、自社サービスへの影響を公表した。

この秋はずっと「漏れた」という発表を読んできたが、これは違う。まだ何も起きていない段階で、新規の受付を止めている。

何が止まったのか

いずれも再開時期は未定。影響調査と必要な対応のため、とされている。

契約中のものは動いている

利用している側がまず確認したいのはここになる。どのお知らせにも、同じ一文がある。

現在契約中のプランについては通常通り稼働しております。

クラウドについても、新規プロジェクト作成の一時停止に伴う、作成済みのリソースの稼働への影響はないと明記されている。

つまりいま動いているサイトが止まったわけではない。慌てて何かする段階ではない。

止めるのは、重い判断になる

ホスティング事業者にとって、新規申し込みは売上の入口だ。それを全プランで止めている。

しかも被害が出たからではない。脆弱性が公開され、影響調査を進める段階で止めている。

前日に書いたコミックシーモアの件でも、確定を待たずにサービスを止めていた。止めるほうが安い、と判断する場面が増えているように見える。

なぜ仮想化で問題になるのか

公開されている脆弱性の中身を見ると、止めた理由が読める。

採番元の記録では、LinuxカーネルのIPv4の処理に関するもので、チェックサムの情報が壊れたパケットが入ってくると、ネットワークヘッダを破壊しうるという内容になっている。修正はすでに取り込まれている。

評価値はCVSS 3.1 で 9.3（緊急）。内訳を読むと、性格がはっきりする。

「スコープ変更」が効いている

ここが全部の理由になる。影響が、入った箱の外へ出るという意味だ。

仮想化された環境では、1台の機械の上に複数の利用者の環境が載っている。自分の部屋の中だけで完結するはずの不具合が、壁を越えて外側に届くのであれば、同居している全員の問題になる。

さくらの最初のお知らせにも、仮想化環境においてホストシステムへの影響につながる可能性があると報告されている、と書かれている。

レンタルサーバもVPSも、1台を分け合う仕組みだ。だから新規の受け入れを先に止めた、と読める。

自分でOSを管理している場合

お知らせには、分けて書かれている節がある。

「さくらの専用サーバ PHY」など、お客さまにてOSを管理されている当社サービスについては、ご利用中のOSやカーネルのバージョン、システム構成等によって本脆弱性の影響を受ける可能性があります。

この場合、対応するのは自分になる。各OSベンダーやディストリビューションの情報を確認し、セキュリティアップデートを当てる。

どこまでが事業者の責任で、どこからが自分の責任か。IDCFクラウドの件でも同じ線が出てきた。あちらはバックアップを取っていた人だけが戻せた。今回はOSを自分で持っている人だけが、自分で当てる。

制作者がいまできること

クライアントのサイトをさくらに置いている場合、やることは多くない。ただし先回りできる。

1. 稼働は問題ないと伝える — 契約中のプランは通常どおり、と公表されている
2. 新規の契約予定があれば、前倒しか先送りを相談する — いま申し込めない
3. 再起動を伴う作業が来る可能性を、先に共有する
4. バックアップの所在を確認する — 作業の前に取っておく

3番目について、お知らせにはこう書かれている。

本脆弱性への対応として、ホストメンテナンスを含む必要なメンテナンスを実施する可能性があります。

ホスト側のメンテナンスは、載っている環境が一時的に止まることを意味しうる。日時は改めて案内されるとされているので、来る前に伝えておくと、当日の説明が要らなくなる。

慌てなくていい理由

この手の知らせを見ると、何か今すぐやらなければと思いやすい。ただ今回は、共有環境を使っている側に打てる手はほとんど無い。

カーネルを入れ替えるのは事業者の作業になる。利用者にできるのは案内を待つことと、止まる前提で段取りを用意しておくことだけだ。

攻撃されていなくても影響は出る、という点では同じ日のドコモの件と変わらない。原因が何であれ、止まるときは止まる。

まとめ

• 漏えいではない。脆弱性の公開を受けた予防的な対応
• レンタルサーバ・マネージドサーバ・VPSの新規申し込みが停止。再開時期は未定
• クラウドは新規プロジェクトの作成のみ停止
• 契約中のプランは通常どおり稼働している
• 評価値はCVSS 3.1 で 9.3（緊急）。スコープ変更が効いている
• 影響が箱の外へ出るため、1台を分け合う仕組みで問題になる
• OSを自分で管理している場合は、自分で当てる
• 今後ホストメンテナンスの可能性。止まる前提で段取りを用意する

出典

• さくらインターネット株式会社「【重要】Linuxカーネルの脆弱性（CVE-2026-99999）に関する当社サービスへの影響について」（2026年10月16日17:00時点）（対象サービス、仮想化環境での影響、顧客がOSを管理する場合の対応、同社の対応方針）
• 同「さくらのレンタルサーバ・マネージドサーバ新規申し込み受付停止のお知らせ」（対象プラン、停止日、再開時期、契約中プランの稼働）
• 同「さくらのVPSにおけるLinuxカーネルの脆弱性（CVE-2026-99999）への対応状況について」（停止した機能、対象リージョン、今後の対応）
• 同「さくらのクラウドにおけるLinuxカーネルの脆弱性（CVE-2026-99999）への対応状況について」（新規プロジェクト作成の停止、作成済みリソースへの影響）
• NVD「CVE-2026-99999」（脆弱性の内容、CVSS 3.1 の評価値と内訳、修正コミット。2026年10月16日に確認）

本記事は2026年10月16日時点で公表されている内容に基づく。評価値は採番元が付与したもので、NVDによる独自の分析は本記事の確認時点で未了（状態は「Received」）。対応状況は変わるため、最新は各公式のお知らせで確認すること。本記事は法的な助言ではない。