IBM WebSphere Application Server の認証バイパス（未認証要求）

Critical（CVSS 9.8）に分類されるIBM WebSphere Application Server (traditional)の脆弱性です。IBM WebSphere Application Server の traditional 版 9.0 系と 8.5 系で、細工した未認証のリクエストを送るだけで認証を回避できる。IBM の速報（support/pages/node/7281628）は細工した未認証リクエストで認証を回避できると述べるだけで、どのエンドポイントが該当するかまでは公開していない。影響範囲は V9.0.0.0 から 9.0.5.28 まで、および V8.5.0.0 から 8.5.5.30 までで、修正は APAR DT496677 を含む暫定修正、または Fix Pack 9.0.5.29 / 8.5.5.31 以降（提供目標は 2026 年第 3 四半期）である。NVD の CPE も 9.0.5.29 未満・8.5.5.31 未満で一致している。CVSS は評価元で大きく割れており、NVD（Primary）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の IBM は 7.0 High（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:H）である。IBM は認証を抜けた先でできることを機密性・完全性 Low、可用性 High と限定的に見ているのに対し、NVD は三要素すべて High と評価している。前提が未認証・ネットワーク経由という点は共通なので、外部に露出している面があるなら評価の差に関わらず優先度は高い。IBM は回避策・緩和策を None と明記している。CISA KEV には未収載、NVD の vulnStatus は Analyzed である。

判定は版の確認だけで済み、各プロファイルの bin/versionInfo の出力が 9.0.5.28 以下または 8.5.5.30 以下なら該当する。IBM がどのエンドポイントで認証が抜けるかを公開していないため、「この機能を使っていないから大丈夫」という切り分けはできず、版が範囲内なら該当として扱うのが安全である。棚卸しで抜けやすいのは、ND セルの一部ノードだけ Fix Pack が古い状態、待機系・災対系、社内用と称して認証だけを頼りに公開しているアプリ、コンテナ化した traditional WAS のイメージである。緩和策が None なので、更新までの間は到達性を削る方向で対応する。管理コンソールと管理用コネクタをインターネットから外し、業務用経路も前段のリバースプロキシで受け付けるパスと送信元を絞る。認証バイパスという性質上、アクセスログで「認証を通っていないはずのリクエストが 200 を返している」パターン、特に認証必須のはずのパスに対する未認証アクセスの成功を洗うと、悪用の有無を後追いで確認する材料になる。完了条件は、範囲内の全セル・全ノードで DT496677 を含む暫定修正か Fix Pack 9.0.5.29 / 8.5.5.31 以降が入っていることを版の出力で確認できた時点である。加えて、CVE-2026-14974（逆シリアル化）も同じ Fix Pack 世代で塞がるため、適用計画は別々に立てず一度の停止でまとめて上げるほうが停止時間の総量は少なくなる。

IBM WebSphere Application Server (traditional) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-16184）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。