IBM WebSphere Application Server の SIP コンテナ有効時に未認証SSRF（sipServlet-1.1 を使っている構成のみ該当）

Critical（CVSS 9.4）に分類されるIBM WebSphere Application Server 9.0 / 8.5、WebSphere Application Server Liberty 17.0.0.3〜26.0.0.8の脆弱性です。IBM WebSphere Application Server で、SIP コンテナ機能（sipServlet-1.1）を有効にしている場合にサーバサイドリクエストフォージェリ（SSRF）が成立する。対象は WebSphere Application Server 9.0 と 8.5、および WebSphere Application Server Liberty の 17.0.0.3 から 26.0.0.8 までである。CVSS は採番元の IBM が 3.1 で 9.4、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L。認証も利用者操作も不要で、機密性と完全性への影響が High、可用性が Low という配分である。CWE は CWE-306（重要な機能に対する認証の欠如）が割り当てられており、SSRF そのものよりも「認証を経ずに到達できてしまう」ことが分類上の主眼になっている。 該当条件がはっきりしているのがこの件の特徴である。IBM の速報（node/7281721）は影響条件を「SIP コンテナ機能（sipServlet-1.1）が有効なとき」と限定している。sipServlet-1.1 は SIP（Session Initiation Protocol）サーブレットを動かすための機能で、VoIP や通信系のアプリケーションを載せていなければ有効にしていないのが普通である。バージョンが該当帯に入っていても、この機能を使っていなければ攻撃経路は開いていない。 修正は APAR PH72053（Liberty 向け）と DT495928（traditional 向け）で提供される。IBM は「今すぐ対処すること（strongly recommends addressing the vulnerability now）」として、暫定修正（interim fix）の適用か、修正を含む fix pack の適用を求めている。ただし fix pack 側の提供時期は本稿の確認時点でいずれも 2026年第3四半期予定（targeted availability 3Q2026）とされており、確定していない。つまり今すぐ対処するなら interim fix を選ぶことになる。 回避策については、IBM の速報の「Workarounds and Mitigations」欄が None と明記している。設定で凌ぐ手は提示されていない。速報は 2026年7月28日に初版が公開され、2026年8月11日に Liberty 26.0.0.8 向けの interim fix が追記されている。KEV には本稿の確認時点（2026-08-25・カタログ 2026.08.24）で収載されていない。

最初にやることは、sipServlet-1.1 を使っているかどうかの確認である。使っていなければ該当しない。ここで該当を外せる構成が大半だと考えられるので、バージョン調査より先にこちらを見たほうが速い。 Liberty では server.xml の featureManager に sipServlet-1.1 が列挙されているかを見る。IBM は「特定の機能が有効かどうかを判定する方法」を速報からリンクしているので、複数サーバをまとめて調べるならその手順に従う。traditional 版では SIP コンテナを構成したプロファイルがあるかを確認する。 該当した場合の対処はバージョンごとに分かれる。Liberty 17.0.0.3〜26.0.0.8 で sipServlet-1.1 を使っている場合は、interim fix が要求する最低限の fix pack レベルまで上げたうえで PH72053 を解決する interim fix を適用するか、Fix Pack 26.0.0.9 以降を適用する。traditional の V9.0.0.0〜9.0.5.28 は、同様に最低限のレベルまで上げて DT495928 の interim fix を適用するか、Fix Pack 9.0.5.29 以降を適用する。V8.5.0.0〜8.5.5.30 は DT495928 の interim fix か Fix Pack 8.5.5.31 以降である。 ここで判断が要るのは、fix pack を待つか interim fix を当てるかである。IBM が示した fix pack（26.0.0.9 / 9.0.5.29 / 8.5.5.31）の提供時期はいずれも 2026年第3四半期予定であって確定日ではない。「次の fix pack で直る」を対処計画にすると、その fix pack が出るまで無防備な期間が続く。IBM 自身が now と書いていることを踏まえれば、該当構成では interim fix を先に当てるのが速報の意図に沿う。 回避策は無い。IBM の速報が Workarounds and Mitigations を None としているので、設定変更で凌ぐ選択肢は公式には存在しない。SIP コンテナを止められるなら止めるのが実質的な緩和になるが、それは機能を落とすということであり、公式の回避策として提示されたものではない。 完了条件は、sipServlet-1.1 を有効にしている全インスタンスについて、PH72053 または DT495928 を含む interim fix か該当 fix pack が適用済みであることを確認することである。sipServlet-1.1 を使っていないインスタンスは、その事実を記録して対象外として扱ってよい。

IBM WebSphere Application Server 9.0 / 8.5、WebSphere Application Server Liberty 17.0.0.3〜26.0.0.8 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-14529）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。