直せないものの堆積――Samba、パスキー、「内側」がいちばんもろい
PHPに続いて、2026年はファイル共有の仕組みSambaにも重大な穴が見つかった。脆弱性のニュースが続くと、インターネットそのものが機能しなくなるように感じる。だが実態は少し違う。問題の本体は、直せないまま残っている古い仕組みの積み重なりだ。
1. Sambaの穴（2026年5月）
Sambaは、LinuxやNASでWindowsのファイル共有を実現するソフトだ。2026年5月、6件の脆弱性を直した修正版（4.24.3、4.23.8、4.22.10）が出た。うち2件は、認証なしでプログラムを実行されるおそれがある。
- CVE-2026-4408：パスワードを確認するスクリプトにユーザー名を
%uで渡す設定だと、細工したユーザー名でコマンドを実行される - CVE-2026-4480：印刷の設定で文書名を
%Jで渡していると、細工した文書名でコマンドを実行される。ゲストの印刷を許していれば、アカウントがなくても狙える - ほかに、書き換え禁止の保護をすり抜ける穴、WINSサーバーを止める穴、証明書を暗号化されていない通信で取りに行く穴など
どれも特定の設定や機能を使っている場合が対象で、Sambaを使っていれば必ず乗っ取られるわけではない。危ないのは、古いSambaを、広いネットワークや外部に向けて動かしたままにしていることだ。
2. Sambaは氷山の一角
古いファイル共有、暗号化されていないログイン、古いTLS、サポートの終わったルーターやNAS、監視カメラ、工場の制御機器。こうしたものは、互換性のために残され、誰も更新しないまま動き続けている。
- 互換性の呪い：古い業務システムが動いている限り、古い仕組みを止められない
- 責任の分散：メーカー、通信事業者、委託先、現場の担当者の誰もが「自分だけの責任ではない」と考える
- 更新の重さ：止める時間、動作の確認、互換性の検証が、現場には負担になる
- 見えない機器：NASやカメラ、古いサーバーが、誰の管理かわからないまま動いている
- 攻撃と防御の差：攻撃する側はAIで穴探しを自動化できるが、守る側はすべての機器を把握して更新しなければならない
インターネットが一気に死ぬというより、信用できる部分が少しずつ減っていく。そして、「社内だから安全」と思われていた内側が、VPNやリモートワーク、委託先を通じて、いちばんもろい場所になっている。
3. パスキーは強いが、まだ使いにくい
パスワードの使い回しや偽サイトへの対策として、パスキー（端末に保存した鍵でログインする仕組み）は強力だ。ただ、Linuxには、WindowsやmacOSのような「OSに標準のパスキーの保管庫」がまだ整っていない。ハードウェアの鍵も、紛失に備えて2本買うとそれなりの出費になる。
現実的な落としどころは次のとおりだ。
- 最重要のアカウント（メール、パスワード管理アプリ、金融、サーバーの管理者）は、FIDO2のハードウェアキーと予備の1本で守る
- 普段のアカウントは、パスワード管理アプリ（BitwardenやProton Passなど）に保存したパスキーを使う
- 回復コードは紙などオフラインで保管する
- Androidのスマホを認証器として使える組み合わせもあるが、ブラウザによって対応に差がある
前のページで見たように、海外のサーバーと同期するパスキーだけに頼ると、国際通信が不安定になったときにログインできなくなるおそれもある。手元で確認できる鍵を一つ持っておく意味はそこにもある。
4. 個人の点検表
自宅のサーバーやNASを持っているなら、月に一度、次の項目を見直したい。
- OS、Samba、PHPなどを更新したか
- 外部に公開しているものを把握しているか（ルーターのポート開放、トンネル、DDNS）
- ファイル共有（SMB）を外部に出していないか。古いSMB1を止めているか。使わない印刷機能を止めているか
- 使っていないサービス（phpMyAdmin、古いテスト用のサイトなど）を止めたか
- バックアップから実際に戻せるか試したか
- ルーターやNASのサポート期限が切れていないか
5. 第3部のまとめ
第3部では、借りた土地（UDのドメイン）で持ち主が方針を変えたときに何が残るかを見て、自分で建てた家（サーバー）の穴を誰がふさぐのかを考えてきた。
借りているものは、持ち主の都合で変わる。自分で持っているものは、自分が直さなければ誰も直さない。どちらを選んでも、「誰が直すのか」を自分で把握していることが、個人にとってのデジタル主権のいちばん地味で、いちばん確かな形だ。
出典・参考
- Ubunlog「Samba fixes serious remote code execution (RCE) flaws」（2026-05-27）
- Samba「Security Updates and Information」
※内容は記載の日付時点の報道・公表資料によるものです。脆弱性の修正状況は、必ず契約先や配布元の最新の告知で確認してください。