Kali Linuxとは？できること・インストール方法と危険性【2026.2対応】

Kali Linux（カーリーリナックス）は、ペネトレーションテストやセキュリティ監査のためのツールをまとめて収録した、Debian系のLinuxディストリビューションです。開発はOffSec（旧Offensive Security）のコミュニティプロジェクトとして行われており、無料で使えます。2026年10月時点の最新版は、6月29日に公開された2026.2です。この記事では、何ができるのか、Parrotなど他のペンテスト用OSと何が違うのか、どの方法でインストールすればよいか、そして公式自身が「Linuxに不慣れな人や汎用デスクトップを探す人には勧めない」と書いている理由を、公式ドキュメントとパッケージ索引で確かめた内容で説明します。

まとめ：Kali Linuxの要点

• Kali Linuxは、BackTrackの後継として2013年に登場し、現在はDebian Testingベースのローリングリリース型OSです。版は年4回、2026.2のような「年.回」の形式で出ます。
• 標準のデスクトップ構成では、ネットワーク調査・Web診断・パスワード解析・無線LAN検査などのツールが最初から入っています。
• 必要スペックの目安は、デスクトップ構成でメモリ2GB・ディスク20GBです。Burp Suiteのような重いツールは、開発元がメモリ8GB以上を勧めています。
• 初めて触るなら、VirtualBox用の構築済みイメージを取り込むのが最短です。Windowsではwsl --install kali-linuxでも入ります。
• 同じ診断用でも、ParrotはDebian系でプライバシー機能を備え、BlackArchはArch系で収録ツールが豊富な上級者向け、Tailsは診断用ではなく匿名化用と目的が分かれます。
• 公式は「Linuxに不慣れな人」や「普段使いのデスクトップを探している人」には勧めていません。
• 許可のないシステムへの侵入は、不正アクセス禁止法で3年以下の拘禁刑または100万円以下の罰金の対象です。練習は自分の環境の中だけで行ってください。

Kali Linuxの成り立ちとDebianとの関係

公式ドキュメントでは、Kali Linuxを「旧BackTrack Linux」の後継で、Debianをベースにしたオープンソースのディストリビューションと説明しています。ツールの詰め合わせではなく、無線LANへのパケットインジェクション用パッチを当てたカーネルを載せ、少人数の開発チームだけが署名付きパッケージを公開する体制をとっている点が、一般のディストリビューションと違います。

ベースは最初からDebian Testingだったわけではありません。公式の沿革ページによると、BackTrackはSlackwareからUbuntuへ土台を移し、その後Kali LinuxとしてDebianベースで作り直されました。

普段更新を受け取る既定のブランチはkali-rollingで、開発用のkali-devから、インストールできることを自動で確認したパッケージを取り込みながら継続的に更新されます（機能テストまでは行われません）。版の番号は、リリースごとにkali-rollingのコードを固めてkali-last-snapshotへ合流させた時点につけられます。2026.2のカーネルは6.19です。7.0はNVIDIAのDKMSドライバとの非互換が報告されたため、リリース時点では既定にせず、kali-experimentalとkali-rollingから入れられる形にしました（詳細は公式の2026.2リリース記事に載っています）。

Kali Linuxでできることと収録ツール

用途別の代表ツール

アプリケーションメニューは「Information Gathering（情報収集）」「Vulnerability Analysis（脆弱性分析）」「Web Application Analysis」「Password Attacks」「Wireless Attacks」「Exploitation Tools」「Sniffing & Spoofing」「Post Exploitation」「Forensics」「Reporting Tools」のように、診断作業の段階別に並んでいます。よく使われる代表ツールをまとめたメタパッケージkali-tools-top10は、2026年時点で次の10個に依存しています。

このほかにフォレンジック（Autopsy）やリバースエンジニアリングの道具も入っています。Web診断で使うプロキシ型ツールの選び方はBurp Suiteとは？通信傍受の仕組みとエディションの選び方・初期設定とOWASP ZAPの診断項目とは？検出できる脆弱性一覧と使い方で詳しく扱っています。Metasploitが実行する攻撃コードの仕組みはexploitとは？脆弱性を悪用する攻撃コードの仕組み・種類・防御を実装者向けに解説が参考になります。

メタパッケージで決まる収録量

何が入るかは「メタパッケージ」で決まります。kali-rollingのパッケージ索引で、各メタパッケージが直接依存しているパッケージ数を数えると次のとおりでした（kali-meta 2026.3.9時点）。

kali-linux-defaultの依存が17個しかないのは、kali-linux-headlessやkali-tools-top10を丸ごと取り込む構造だからです。あとから足すときはsudo apt install -y kali-linux-largeのように入れるか、kali-tweaksの「Metapackages」タブで選びます。

1つ見落としやすい点があります。nmapとniktoは、kali-rollingのmainではなくnon-free区画に置かれています。APTの取得先からnon-freeを外すと、この2つが入らなくなります。

Kali Linuxと他のペネトレーションテストOSの違い

「診断用のLinuxはKaliだけ」ではありません。同じ診断目的の代表例にはParrot Security OSとBlackArch Linuxがあります。用途の違いを明確にするため、プライバシー保護を目的とするTailsも比較します。それぞれ公式サイトの説明をもとに整理すると、ベースとなるOSと狙いがはっきり分かれます。

Parrot Securityの公式サイトは「penetration testers, researchers, students, and enterprises」向けと説明しており、プライバシーと匿名化の機能を備え、動作が軽い点を強みに挙げています。Kaliと同じDebian系なので、aptの使い勝手や日本語化の手順はほぼ共通です。迷ったら、日本語の解説記事や教材が多いKaliから始め、プライバシー機能や使い勝手を重視したくなったらParrotを検討するとよいでしょう。必要メモリはエディションや構成で変わるため、導入前に公式のダウンロードページで確認してください。

BlackArchはArch Linux上に構築され、公式サイトは収録ツールを「Over 2800」と表示しています。収録ツールは豊富ですが、ベースがArchなので、ローリングアップデートやパッケージ管理（pacman）に慣れていないと扱いにくくなります。TailsはUSBから起動するプライバシー保護用OSです。通常のインターネット通信はTor経由ですが、ネットワーク認証などに使うUnsafe Browserは例外です。通常の作業データは終了時に消えますが、永続ストレージに保存したデータは残ります。脆弱性診断を主目的に設計されたOSではないため、診断環境としてKaliを置き換える用途には向きません。目的が「脆弱性を調べる」ならKaliやParrot、「身元を隠して通信する」ならTailsと、用途で選び分けてください。

インストール方法の選び方と必要スペック

必要スペックの目安

公式のインストールガイドでは、構成ごとに次の目安を示しています。ガイドはamd64（64bit）を対象にしており、UEFIでもBIOSでも入れられます。2026.2ではarm64版のインストーラも配布されています。

仮想マシンで動かす場合、この値に加えてホスト側のOSが使う分のメモリも必要です。ホストのメモリが8GBなら、ゲストへの割り当ては2〜4GBが目安です（公式の最小値2GBとホストOSの使用分から見た編集部の目安）。

配布イメージの種類と選び方

ダウンロードページには用途別のイメージが並んでいます。2026.2のamd64版の主なものは次のとおりで、サイズはcdimage.kali.orgの表示です。

このほかにVMware・QEMU・Hyper-V用のVM、ARM機器用、Android向けのNetHunter、クラウドとコンテナ用があります。どれを選ぶか迷ったら、スナップショットで元に戻せるVMから始めるのが安全です。ホスト型とベアメタル型の仮想化の違いはハイパーバイザーとは？Type1・Type2の違いから仮想化基盤の選定まで実装者向けに解説にまとめています。

VirtualBoxに構築済みイメージを取り込む手順

ダウンロードしたら、公式サイトからHTTPSで取得したSHA256SUMSとファイルのハッシュ値を照合します。配布元の真正性まで確認するには、Kaliの公式公開鍵でSHA256SUMS.gpgの署名も検証してください。

sha256sum kali-linux-2026.2-virtualbox-amd64.7z
# Windows（PowerShell）の場合: Get-FileHash .\kali-linux-2026.2-virtualbox-amd64.7z -Algorithm SHA256
# https://cdimage.kali.org/kali-2026.2/SHA256SUMS の同名行と一致すればよい
7z x kali-linux-2026.2-virtualbox-amd64.7z

Windowsでは公式の7-Zipアプリで展開できます。展開したら、VirtualBoxの「追加」から.vboxファイルを選ぶと、設定済みの仮想マシンとして登録されます。構築済みイメージの初期ユーザーとパスワードは、どちらもkaliです。ログインしたらすぐpasswdで変更してください。インストーラ版を使った場合は、インストール中に自分でユーザーを作ります。

WindowsのWSLで動かす手順

更新済みのWSLに対応するWindowsでは、管理者権限のPowerShellまたはコマンドプロンプトから次のインストールコマンドを実行します。必要に応じて再起動し、Kaliの初回起動でユーザーを作成してから、Kali側のコマンドへ進んでください。WSLそのものの仕組みはWSL2とは｜WSL1との違い・仕組み・インストール方法とメリット/デメリットを解説を参照してください。

wsl --install kali-linux
# 起動後、Kali側でGUIを使う場合
sudo apt update
sudo apt install -y kali-win-kex
kex --win -s

公式のWin-KeXの案内では、従来の既定ツールも揃えたい場合にsudo apt install -y kali-linux-largeの追加を勧めています。ディスクに余裕があるときに入れてください。

インストール後の初期設定

アップデートと2026.2のAPTソース形式変更

Kaliはローリングリリースなので、入れた直後に全体を更新します。

sudo apt update
sudo apt full-upgrade -y

2026.2では、長年使われてきた/etc/apt/sources.listが廃止され、/etc/apt/sources.list.d/kali.sourcesへ移りました。新しく入れたシステムは新形式になり、既存のシステムは変更されません。古い解説記事の「sources.listを編集する」という手順は、新規インストールではkali.sourcesのComponents:行に置き換えて読んでください。

同じ2026.2で、構築済みVMイメージからグラフィックのファームウェアが外され、インストーラもVM上だと判定すればこれを入れなくなりました。NVIDIA・AMD・Intel向けを合わせると約300MBあり、initrdが約200MBまで膨らんでいたためです。VM利用時のinitrdは60MBになり、起動時間は約3分の1になったと公式は説明しています（Linuxホスト上のQEMU VMでの測定）。実機へのインストールは従来どおりで、GPUパススルーを使うVMだけはファームウェアを自分で入れる必要があります。

日本語表示と日本語入力の設定

インストーラで日本語を選ばなかった場合や、構築済みVMを使った場合は、英語表示のまま起動します。ロケールの追加と日本語入力の導入は次のとおりです。fcitx5-mozcとfonts-noto-cjkは、どちらもkali-rollingの索引にあることを確認しています。

sudo dpkg-reconfigure locales   # ja_JP.UTF-8 を選び、既定にする
sudo apt install -y fcitx5-mozc fonts-noto-cjk
im-config -n fcitx5             # 入力メソッドをfcitx5にする
sudo timedatectl set-timezone Asia/Tokyo

im-config -n fcitx5は入力メソッドの選択を変更するコマンドで、表示言語は変更しません。前述のロケール設定と合わせてログインし直し、日本語表示を確認してください。日本語を入力できない場合はFcitx 5の設定画面でMozcが入力メソッドに追加されているか確認します。

Kali Linuxの危険性と普段使いに向かない理由

公式が初心者と普段使いに勧めない理由

公式ドキュメントの「Should I Use Kali Linux?」は、Linuxに不慣れな人や、開発・Web制作・ゲーム用の汎用デスクトップを探している人には「勧めない」と明言しています。理由として挙げているのは次の3点です。

• ネットワークサービスを既定で無効にするsystemdのフックがあり、Bluetoothなども既定でブロックされている
• 取得元のリポジトリを最小限に絞っており、apt-add-repositoryやPPAは一切サポートしない
• Kali以外のリポジトリを足すと、システムが壊れる危険が大きい

「Steamを入れようとするのはうまくいかない実験」「Node.jsを入れるのにも一手間かかる」とまで書かれています。Linuxの内部を手を動かして学びたい人に対しては、公式はLinux From Scratchプロジェクトを勧めています（概要はLinux From Scratchとは？初心者向けに仕組みと目的をわかりやすく解説し歴史や応用事例も紹介で解説しています）。普段使いのLinuxが欲しいなら、Ubuntuとは｜インストール手順・推奨スペック・日本語化と文字化け対策を初心者向けに解説のような汎用ディストリビューションを選ぶべきです。

既定パスワードと付属ツールの初期認証情報

Kaliは2020.1から、rootではなく一般ユーザーで使う方針に変わりました。一方で、Live起動や構築済みVM・ARMイメージはkali/kaliのまま配布されています。付属ツールにも固定の初期値を持つものがあります。

これらのサービスを起動したままKaliを共有ネットワークにつなぐと、今度は自分の端末が攻撃の入口になります。使い終わったサービスは停止し、初期値は変更しておいてください。なお、Xfceデスクトップには画面の見た目をWindows 10風に変えるkali-undercover（2019.4で追加）があり、同じコマンドを再度実行すると元に戻ります。公共の場でKaliを使っていることによる不要な注目を避けるための外観切り替えです。画面の内容を隠したり、肩越しののぞき見を防いだりする機能ではありません。

不正アクセス禁止法と許可のない診断

Kali Linuxを入れること自体が罪になるわけではありません。問題になるのは、許可を得ていない相手に使うことです。不正アクセス禁止法（2025年6月1日施行の現行条文）の罰則は次のとおりです。

• 第11条：不正アクセス行為をした者は、3年以下の拘禁刑または100万円以下の罰金
• 第12条：不正アクセスに使う目的で他人のIDやパスワードを取得・保管した者などは、1年以下の拘禁刑または50万円以下の罰金

公式ドキュメントも、明示的な許可なしにツールを使えば取り返しのつかない損害や法的な結果を招くおそれがあり、「何をしているか分かっていなかった」は言い訳にならないと書いています。業務で診断するときは、対象範囲・期間・手法を書面で合意してから始めてください。自社システムの診断を外部に任せたい場合は、脆弱性診断・セキュリティ診断サービスのように、合意形成から報告まで請け負う専門の事業者に委託する選択肢もあります。

Kali Linuxの使い方：自分の環境だけで脆弱性診断を練習する手順

練習台を外部に求める必要はありません。Kaliには、わざと脆弱に作られたWebアプリをまとめたkali-linux-labsがあり、DVWAとOWASP Juice Shopが入ります。DVWAは起動すると自分の端末の127.0.0.1で開くので、外部へ攻撃を向けずに一連の流れを試せます。

sudo apt install -y kali-linux-labs nmap wordlists
dvwa-start                          # http://127.0.0.1:42001 （admin / password）
nmap -sV -p 42001 127.0.0.1         # 待ち受けているサービスと版を確認
sudo gunzip /usr/share/wordlists/rockyou.txt.gz   # 辞書攻撃の演習用リスト
dvwa-stop

パスワード解析の演習で使う辞書ファイルは/usr/share/wordlists/にまとまっています。rockyou.txtは展開すると約134MB、1,434万行あります。同じディレクトリには、dirb・dirbuster・fasttrack.txt・nmap.lst・sqlmap.txt・wfuzzなど、各ツールが持つ辞書へのリンクも並んでいます。Juice Shopについては、Kaliのツールページに「インターネットに面したサーバーに置くと乗っ取られる」との警告があります。ローカル以外で動かさないでください。手順付きの教材で体系的に学びたい場合は、ブラウザからKali環境を使えるTryHackMeとは？AttackBoxとVPN接続・料金の実額を実装視点で解説や、CTFとは？形式・ジャンルと練習環境の作り方をコード付きで解説で紹介している演習サイトが入口になります。

よくある質問

Kali Linuxを使いこなすには何から学べばよいですか？

公式ドキュメントは、読者がLinuxの操作に慣れている前提で書かれています。まずコマンド操作とTCP/IPの基礎を固め、次に上で紹介したkali-linux-labsで手元の練習台を攻めてみてください。仕事にするなら、開発元OffSecのコースPEN-200（Penetration Testing with Kali Linux・2026年時点で1,749ドルから）で学び、3年有効の認定資格OSCP+を目指す道があります。なお、Kali Linux自体は無料で、公式は今後も有料にしないと明言しています。

Kali Linuxの最新バージョンはいくつですか？

2026年10月時点の最新版は、2026年6月29日に公開された2026.2です。版は四半期ごとに出ます。インストール済みの環境はsudo apt full-upgradeで常に最新のパッケージへ追従するので、版番号を上げるために入れ直す必要はありません。

Kali LinuxとUbuntuは何が違いますか？

どちらもDebian系ですが、目的が違います。Ubuntuは開発やデスクトップ用途の汎用OSで、PPAで外部リポジトリを足せます。Kaliはペネトレーションテスト専用で、ネットワークサービスが既定で無効になっており、外部リポジトリの追加はサポート外です。

KaliとParrotはどちらを選べばよいですか？

どちらもDebian系のペンテスト用OSで、使えるツールや操作はよく似ています。情報量と教材の多さで選ぶならKali、動作の軽さやプライバシー機能を重視するならParrot Securityが候補です。はじめての1台としては、トラブル時に日本語の解説記事が見つかりやすいKaliから入るのが無難です。

スマホ（Android）でKali Linuxは使えますか？

Android向けにKali NetHunterが用意されています。root化していない端末でも使えるRootless版ではKaliのコマンドラインと全パッケージが動きますが、Wi-Fiインジェクションや、2026.2で追加された偽アクセスポイントのEvilTwinは使えません。これらは、対応端末向けに専用カーネルを入れたフル版だけの機能です。root化済みでカーネルを替えないLite版では、NetHunterアプリとDB付きのMetasploitまで使えます。公式のGitLabには110以上の端末向けに250以上のカーネルがあります。

AIでKali Linuxのツールを操作できますか？

できます。KaliのツールをMCPサーバー経由でLLMから呼び出すHexStrike AIが、Kaliのリポジトリに収録されています。2026.2では、コマンドラインからLLMを使うshell-gptも新しく追加されました。ただし実行するのは本物の攻撃ツールなので、AIに渡す場合も対象範囲の許可が前提です。詳しくはHexStrike AIとは？Kali導入・MCP設定とv6.0で実際に使える範囲【2026年版】を参照してください。

関連記事

• TryHackMeとは？AttackBoxとVPN接続・料金の実額を実装視点で解説
• CTFとは？形式・ジャンルと練習環境の作り方をコード付きで解説
• Burp Suiteとは？通信傍受の仕組みとエディションの選び方・初期設定
• WSL2とは｜WSL1との違い・仕組み・インストール方法とメリット/デメリットを解説
• HexStrike AIとは？Kali導入・MCP設定とv6.0で実際に使える範囲【2026年版】