IBM WebSphere Liberty の Collective Controller で任意コード実行

Critical（CVSS 9.8）に分類されるIBM WebSphere Application Server Libertyの脆弱性です。IBM WebSphere Application Server Liberty で collectiveController-1.0 フィーチャーを有効にしている環境が、リモートからの任意コード実行を受ける。IBM のセキュリティ速報（support/pages/node/7281633）は影響範囲を Liberty 17.0.0.3 から 26.0.0.8 までとし、修正は APAR DT496531 を含む暫定修正（Interim Fix）、または Liberty Fix Pack 26.0.0.9 以降（提供目標は 2026 年第 3 四半期）だと記している。NVD の CPE も 26.0.0.9 未満で一致している。CVSS は評価元で大きく割れており、NVD（Primary、nvd@nist.gov）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の IBM は 7.1 High（CVSS:3.1/AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H）である。差の中身は、攻撃元がネットワーク全体か隣接ネットワークに限られるか（AV:N か AV:A）、攻撃条件が複雑か、利用者の操作を要するかの見方で、Collective の管理経路をどこまで外から触れる想定にするかで評価が変わる。IBM は同速報の Workarounds and Mitigations を None と明記しており、設定変更でしのぐ手当てはベンダーから提示されていない。CISA KEV には未収載で、NVD の vulnStatus は Analyzed である。

最初にやることは、そもそも collectiveController-1.0 を有効にしている Liberty があるかの切り分けである。server.xml（および include している設定断片）の featureManager に collectiveController-1.0 が入っているかを見て、IBM が速報から案内している「How to determine if Liberty is using a specific feature」の手順でも突き合わせる。版は wlp/bin/productInfo version で確認し、17.0.0.3 以上 26.0.0.8 以下なら該当する。見落としやすいのは設定ファイルではなくイメージのほうで、websphere-liberty ベースのコンテナイメージ、テンプレートから量産した AMI・VM イメージ、開発用に立てて放置された Collective Controller が残りやすい。IBM が緩和策を None としているため、すぐ更新できない場合は機能と経路を閉じる方向しかない。具体的には、Collective の管理用エンドポイントを管理ネットワークや特定送信元だけに絞り、インターネットからも一般の業務セグメントからも直接届かないようにする。Collective による集中管理を実際には使っていないなら、collectiveController-1.0 をフィーチャー定義から外して再起動するのが最も確実で、これは実質的に攻撃面の削除になる。これは何をすれば終わりかというと、(1) collectiveController-1.0 を有効にしている全ての Liberty で DT496531 を含む暫定修正または 26.0.0.9 以降が適用済みになっていること、(2) フィーチャーを外した環境については、その状態が構成管理・イメージビルドに反映され、次のデプロイで元に戻らないことを確認できた時点で完了である。KEV 未収載なので CISA の是正期限は無いが、Fix Pack の提供目標が 2026 年第 3 四半期であるため、それを待つのか暫定修正で先に塞ぐのかを先に決めておく必要がある。

IBM WebSphere Application Server Liberty を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-14976）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。