さくらインターネット・カゴヤがサーバーの新規申込を停止——Linuxの脆弱性「CVE-2026-99999」で、利用中の会社が確かめたいこと

2026年10月、さくらインターネットとカゴヤ・ジャパンが、VPSやレンタルサーバーなどの新規申し込みを一時停止しました。原因は、サーバーの土台となるLinuxの中核部分（カーネル）に見つかった、深刻度9.3の脆弱性「CVE-2026-99999」（通称 PwnEscape）です。

いま使っているサーバーは通常どおり動いていますが、「新しくサーバーを借りる予定だった」「制作会社にサイトの引っ越しを頼んでいた」という会社には影響が出ます。何が起きているのかと、サーバーを使っている会社が確かめたいことをまとめます。

何が起きているのか

なぜ「新規申し込み」を止めるのか

VPSやクラウドは、1台の大きなサーバー（ホスト）の上で、たくさんの利用者の仮想サーバーを動かしています。今回の弱点は、その土台側に関わるものです。

• 土台に弱点があると、ある利用者の仮想サーバーから、ほかの利用者の情報にまで手が届くおそれがある
• 土台の修正には、サーバーの再起動などの作業が必要になることが多い
• 修正が終わるまで、新しい利用者を受け入れないようにして、影響が広がるのを防いでいる

つまり今回の停止は、事業者が安全側に倒した対応です。既存の利用者がすぐに被害を受けたという発表ではありません。

サーバーを使っている会社が確かめたいこと

1. 契約先のお知らせ・メンテナンス情報を見る

土台側の修正は事業者が行います。ただし作業のために再起動や短時間の通信断が入ることがあります。契約先のお知らせで、自社のサーバーが対象か、いつ作業があるかを確認しておきましょう。

2. 自社で管理しているLinuxサーバーは更新する

VPSやクラウドの上で動かしているLinux（仮想サーバーの中）や、社内に置いているLinuxサーバーは、自社（または保守会社）が更新する必要があります。使っているLinuxの配布元（Ubuntu、AlmaLinuxなど）のセキュリティ情報を確認し、カーネルの更新を当てて再起動します。

3. 新しいサーバーの予定がある場合は、日程を見直す

サイトの新規公開や引っ越しで、さくら・カゴヤの新しいサーバーを使う予定だった場合は、再開時期が未定であることを前提に、制作会社と日程を相談してください。

同じ時期に、PHPにも緊急の脆弱性

10月21日には、Webサイトを動かすプログラム言語PHPにも「緊急」レベルの脆弱性2件が見つかり、各社が対応に追われています。WordPressのサイトを持っている会社はPHPに「緊急」レベルの脆弱性2件——WordPressのサイトを持つ会社が今やることもあわせて確認してください。

まとめ：既存のサーバーは稼働中。お知らせの確認と、自社管理分の更新を

• Linuxカーネルの脆弱性（CVE-2026-99999、深刻度9.3）で、さくらインターネットとカゴヤ・ジャパンが新規申し込みを一時停止
• 既存のサーバーは通常どおり稼働。ただし修正作業で再起動や通信断が入ることがある
• 契約先のお知らせを確認し、自社で管理しているLinuxは更新する。新規の予定は日程を見直す

「うちのサーバーが対象か分からない」「サーバーの更新を誰がやっているのか分からない」という会社は、BULLCOM Securityにご相談ください（法人向けサービス）。まずはLINEでお気軽にどうぞ（無料）。

参考：@IT、カゴヤ・ジャパン「Linuxカーネルの脆弱性（CVE-2026-99999）に関する新規お申し込み受付停止のお知らせ」（2026年10月19日）