Quarkus REST Data Panache の生成エンドポイントで認可が外れる（CVSS 9.1）

Critical（CVSS 9.1）に分類されるQuarkus（Red Hat） Quarkus REST Data Panache（io.quarkus:quarkus-hibernate-orm-rest-data-panache）の脆弱性です。Java フレームワーク Quarkus の **REST Data Panache**（エンティティから REST エンドポイントを自動生成する拡張）に、**認可が外れる**欠陥がある。クラスに `@ResourceProperties(rolesAllowed = ...)` でロール制限を付けていても、特定の操作を `@MethodProperties` で個別に設定し、そこでロールを書き直さなかった場合、コード生成がその操作についてクラス側のセキュリティ要件を**黙って落とす**。その結果、そのエンドポイントは**認証なしで呼べる**状態になり、データの閲覧や変更を許すおそれがある。 **対象**: Red Hat の Bugzilla（2530524）は影響版として Quarkus **3.27 と 3.33** を挙げ、NVD は Red Hat build of Quarkus の `quarkus-hibernate-orm-rest-data-panache` を影響製品としている。2026年10月13日時点で、修正版・修正コミットはどちらにも記載が無い。 **評価値**: Red Hat（CNA）による CVSS 3.1 は **9.1 Critical**（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N。Red Hat の深刻度は Important・暫定値）。NVD の分析状況は Received（2026年10月12日公開）。CISA KEV には収載されていない。

**修正版はまだ示されていない（公式で要確認）。** Red Hat の CVE ページも Bugzilla も、2026年10月13日時点で修正版・エラータを載せていない。 **影響を受けるかの確認**: アプリケーションが `quarkus-hibernate-orm-rest-data-panache` を使い、かつ（1）リソースのクラスに `@ResourceProperties(rolesAllowed = ...)` を付け、（2）一部の操作に `@MethodProperties` を付けているのにそこでロールを書いていない、の両方に当てはまるか。当てはまる操作が認証なしで呼べるかは、トークンを付けずに該当エンドポイントへ要求して確かめられる。 **つなぎの措置**: Red Hat の緩和策は、REST Data Panache を使う Quarkus アプリへの到達を信頼できるネットワークか localhost に限ること（設定変更後は再起動が要る場合がある）。加えて、欠陥の仕組みから、`@MethodProperties` を付けた各操作にも `rolesAllowed` を明示し直せば、クラス側の要件が落ちても認可が残る（これは公式の回避策ではない）。修正版が出たら更新する。

Quarkus（Red Hat） Quarkus REST Data Panache（io.quarkus:quarkus-hibernate-orm-rest-data-panache） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-87744）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。