IBM WebSphere Application Server の危険な逆シリアル化でRCE

Critical（CVSS 9.8）に分類されるIBM WebSphere Application Server (traditional)の脆弱性です。IBM WebSphere Application Server の traditional 版 8.5 系と 9.0 系に、信頼できないデータの逆シリアル化に起因する任意コード実行がある。リモートの攻撃者が細工したシリアライズデータを送り込むことで、アプリサーバの権限でコードを実行できるという類型で、Java アプリサーバでは繰り返し出ている経路である。IBM の速報（support/pages/node/7281641）は影響範囲を V8.5.0.0 から 8.5.5.30 まで、および V9.0.0.0 から 9.0.5.28 までとし、修正は APAR DT496118 を含む暫定修正、または Fix Pack 8.5.5.31 / 9.0.5.29 以降（いずれも提供目標は 2026 年第 3 四半期）だとしている。NVD の CPE も 8.5.5.31 未満と 9.0.5.29 未満を影響範囲として登録しており、両者は一致している。CVSS は評価元で割れており、NVD（Primary）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の IBM は 8.1 High（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）である。違いは攻撃条件の複雑さ（AC:L か AC:H）だけで、いずれも未認証・ネットワーク経由・三要素すべて High という点は共通している。IBM は回避策・緩和策を None と明記している。同じ速報は CVE-2026-14515（クロスサイトスクリプティング、IBM 評価 6.1）も扱う。CISA KEV には未収載、NVD の vulnStatus は Analyzed である。

判定は Fix Pack レベルの確認で、各プロファイル配下の bin/versionInfo（versionInfo.sh / versionInfo.bat）の出力を見て、8.5.5.30 以下または 9.0.5.28 以下なら該当する。ND セル構成では Deployment Manager と各ノードで版が揃っていないことがあるため、セル内の全ノードを一台ずつ見る必要がある。見落としやすいのは、更新の対象台帳から外れている古い箱で、具体的には長年触っていない業務系の 8.5 系、検証用に複製したまま残っているセル、traditional WAS をそのままコンテナに詰めたイメージ、災対サイト側の待機系が挙がる。IBM が緩和策を None としているので、更新を待つ間は経路を閉じる話になる。逆シリアル化の入口はアプリが受け付ける通信そのものなので、管理コンソールや管理用コネクタをインターネットから到達可能にしていないか、業務用の HTTP 経路の前段でリバースプロキシや WAF を挟んで受け付けるパスを絞れているか、社内向けのはずのポートがセキュリティグループやネットワークセキュリティグループで広く開いていないか、の三点を先に潰す。加えて、この機会に「どのエンドポイントが外部から到達できるか」の一覧を作ると、次に同種の逆シリアル化が出たときの初動が短くなる。完了条件は、影響範囲に入る全てのセル・全ノードで DT496118 を含む暫定修正が入っているか、Fix Pack 8.5.5.31 / 9.0.5.29 以降に上がっていることを版の出力で確認できた時点である。Fix Pack の提供目標は 2026 年第 3 四半期なので、その到着を待つのか暫定修正で先に塞ぐのかは、外部からの到達性がある系から順に判断するとよい。

IBM WebSphere Application Server (traditional) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-14974）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。