IBM Verify Identity Access の逆シリアル化で未認証RCE（CVSS 9.8・11.0.3.1 で修正）

Critical（CVSS 9.8）に分類されるIBM IBM Security Verify Access 10.0〜10.0.9.2 / IBM Verify Identity Access 11.0〜11.0.3（各コンテナ版を含む）の脆弱性です。IBM のアクセス管理製品 IBM Security Verify Access（旧 ISAM）と後継の IBM Verify Identity Access で、**信頼できないデータを逆シリアル化してしまうため、未認証のリモート攻撃者が任意のコードを実行できる**欠陥（CWE-502）。IBM（CNA）が採番し、IBM のセキュリティ告知（2026年10月7日公開）と NVD の記述が一致する。 **対象**: IBM Security Verify Access 10.0〜10.0.9.2、IBM Verify Identity Access 11.0〜11.0.3、および両製品のコンテナ版。 **評価値**: CVSS 3.1 は **9.8**（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で、NVD の分析状況は Analyzed。2026年10月10日時点で CISA KEV には収載されておらず、IBM の告知にも悪用の記載は無い。 同じ告知では、同じ種類の逆シリアル化の欠陥 CVE-2026-78401（CVSS 9.8）を含む計22件がまとめて修正されている。製品は認証の前段（リバースプロキシ型の Web 認証基盤）として外部に公開されることが多く、未認証で到達できる点に注意が要る。

**修正版へ更新する。** IBM の告知が示す修正は、IBM Security Verify Access **10.0.9.3**（fix ID 10.0.9-ISS-ISVA-FP0003）と IBM Verify Identity Access **11.0.3.1**（fix ID 11.0.3-ISS-IVIA-FP0001）。告知は回避策・緩和策を「なし」としているため、更新以外に公式の逃げ道は無い。 **コンテナ版**: 告知には修正版の版番号が無く、コンテナのダウンロードページへの案内だけになっている。IBM の配布元で最新イメージの版を確認して入れ替える（NVD の影響範囲はコンテナ版で 10.0.9.2 以下 / 11.0.3.0 以下）。 **影響を受けるかの確認**: アプライアンスの管理画面（LMI）でファームウェアの版を見る。10.0.9.2 以下、または 11.0.3 以下なら対象。 **更新までのつなぎ**（公式の回避策ではなく一般的な措置）: 管理インターフェースへの到達元をネットワークで絞り、外部に公開しているサービスは WAF やロードバランサで到達元を必要最小限にする。同じ告知の CVE-2026-78401 も同じ更新で直る。

IBM IBM Security Verify Access 10.0〜10.0.9.2 / IBM Verify Identity Access 11.0〜11.0.3（各コンテナ版を含む） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-78406）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。