PackageKit デーモンに深刻な脆弱性「Pack2TheRoot」（CVE-2026-41651）が発見された。ローカルユーザーが認証なしでシステムパッケージを操作し、root 権限を取得できるこの欠陥は、2014年から実に12年間にわたって静かに潜み続けていた。Deutsche Telekom のレッドチームが発見し、修正版となる PackageKit 1.3.5 が公開されている。

PackageKit とは何か

PackageKit は、Linux システム上でソフトウェアのインストール・更新・削除を管理するバックグラウンドデーモンだ。Ubuntu の「ソフトウェアセンター」、GNOME Software、KDE の Discover といった GUI パッケージマネージャーの裏で動いており、エンドユーザーが普段意識することはほとんどない。しかしそのぶん、デスクトップ環境にデフォルトで組み込まれていることが多く、今回の脆弱性の影響範囲は広い。

脆弱性の詳細：認証をすり抜ける仕組み

この脆弱性の核心は、PackageKit がパッケージ管理リクエストを処理するメカニズムにある。特定の条件下で pkcon install コマンドが 認証を経ずに実行できてしまう。これにより、ローカルにアクセスできる一般ユーザーがシステムパッケージを操作し、root 相当の権限を手に入れられる。CVSS スコアは 8.8（高危険度）。

注目すべきは、調査チームが AI ツールを活用して脆弱性の悪用可能性を体系的に掘り下げた点だ。現代のセキュリティリサーチでは、AI が脆弱性分析の強力な補助手段になりつつあることを示す好例でもある。

影響を受けるディストリビューション

研究者が実際に悪用可能であることを確認した環境は以下の通り：

ディストリビューション バージョン

Ubuntu Desktop 18.04 (EOL)、24.04.4 LTS、26.04 (LTS beta)

Ubuntu Server 22.04〜24.04 LTS

Debian Desktop Trixie 13.4

Rocky Linux Desktop 10.1

Fedora Desktop / Server 43

ただしこのリストは網羅的なものではなく、PackageKit をインストールして有効化している Linux ディストリビューションはすべて潜在的に脆弱と考えるべきだ。

対処方法：今すぐ確認すべきこと

バージョン確認：

出典: この記事は New ‘Pack2TheRoot’ flaw gives hackers root Linux access の内容をもとに、筆者の見解を加えて独自に執筆したものです。