IBM webMethods Integration Server の WmServiceMock による未認証RCE（パッチは無く、パッケージ削除が唯一の対処）

Critical（CVSS 9.8）に分類されるIBM IBM webMethods Integration (on prem) 10.15 / 10.11の脆弱性です。IBM webMethods Integration Server に同梱される WmServiceMock パッケージを経路として、未認証のリモート攻撃者が信頼できないデータのデシリアライズによって任意コードを実行できる。対象は on-prem の 10.15 と 10.11 である。CVSS は採番元の IBM が 3.1 で 9.8 Critical、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H で、認証も利用者操作も要らない。CWE は CWE-502。 この件で押さえるべきなのは、IBM のセキュリティ速報（node/7278857）が「製品パッチもソフトウェア更新も不要（No product patch or software update is required）」と明記していることである。修正版が出ていないのではなく、修正すべき製品コードが無いという整理になっている。IBM の説明はこうである。WmServiceMock パッケージは Integration Server の認証に依存しており、独自の認証機構を実装していない。そしてこのパッケージは開発時のテスト用ユーティリティであり、開発・テスト環境専用に設計されたものである。つまり本番に置くことが想定されていない部品が同梱されており、それが本番に残っていると未認証RCEの入口になる、という構図である。 したがって対処は「パッチを当てる」ではなく「本番から取り除く」になる。IBM が required action として書いているのも、production の Integration Server ノードから WmServiceMock パッケージを削除すること、そしてインターネットに面したシステムや本番システムには配備しないことの2点だけである。 この形の脆弱性は、バージョン番号で影響有無を判定できないという点で扱いにくい。10.15 と 10.11 に該当バージョンが限られているように見えても、実際に危険かどうかは「そのノードに WmServiceMock が入っているか」で決まる。開発環境からコピーして作った本番ノード、あるいはインストール時の既定構成をそのまま使っているノードで残りやすい。IBM の速報は 2026年7月30日の公開時点のもので、回避策の欄には削除手順そのものが書かれている。KEV には本稿の確認時点（2026-08-25・カタログ 2026.08.24）で収載されていない。

判定は1点だけである。本番の Integration Server ノードに WmServiceMock パッケージが存在するかどうか。存在すれば該当し、存在しなければバージョンが 10.15 / 10.11 でも該当しない。 確認と削除の手順は IBM の速報にそのまま書かれている。(1) Integration Server にログインする。(2) Packages > Management へ移動する。(3) パッケージ一覧から WmServiceMock を探す。(4) WmServiceMock の隣の Delete アイコンをクリックする。(5) 確認を求められたら削除を承認する。(6) 削除を完了させるため Integration Server を再起動する。再起動まで行って初めて完了である。 対象ノードの洗い出しは、本番だけを見て終わらせないほうがよい。「本番」の定義から漏れやすいのは、検証用に立てたまま外部に出ているノード、災害対策サイトの待機系、そして開発環境から複製して作った本番ノードである。インターネットに面しているかどうかは優先度を決める材料であって、該当有無の判定材料ではない。内部からの攻撃でも未認証RCEは成立する。 削除前に確認しておくことが1つある。WmServiceMock は開発時のモック機能を提供するパッケージなので、本番の連携フローがこれに依存していないかを見る。依存していれば、それ自体が設計上の問題であり、削除ではなく作り替えが要る。依存が無ければ削除して差し支えない。 完了条件は、全ノードのパッケージ一覧に WmServiceMock が無いことを実際の画面またはファイルシステムで確認し、かつ削除後に Integration Server を再起動していることの2点である。バージョンを上げても直らないので、fix pack の適用予定を完了条件にしてはいけない。

IBM IBM webMethods Integration (on prem) 10.15 / 10.11 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-12118）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。