情報取得日: 2026/10/13・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-93895 |
|---|---|
| 製品 | IBM / IBM WebSphere Application Server Liberty（grpc-1.0 機能） |
| CVSS | 9.1（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| 種別 (CWE) | CWE-284 不適切なアクセス制御 |
| 登録／公開日 | 2026/10/13 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-93895 |
**IBM WebSphere Application Server Liberty で、gRPC のサービスメソッドに設定したアクセス制御を、認証なしで回避される欠陥がある。** IBM のセキュリティ情報（2026年10月13日公開）によれば、対象は Liberty **20.0.0.12〜26.0.0.10** で、**grpc-1.0 機能を有効にしている場合だけ**影響を受ける。 CVSS 3.1 は **9.1 Critical**（IBM の評価。AV:N/AC:L/PR:N/UI:N・機密性と完全性が High）。NVD の分析状況は Undergoing Analysis。同じセキュリティ情報で CVE-2026-95695（認可の不備・7.4）と CVE-2026-95696（例外処理によるサービス停止・6.5）も修正されている。悪用の報告は確認できておらず、CISA KEV にも収載されていない。 セキュリティ情報が対象としているのは Liberty だけで、WebSphere Application Server traditional には触れていない。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 / ECS / EKS 上の Liberty で grpc-1.0 を使っている場合は、APAR DT502929 の暫定修正を当てる（26.0.0.11 以降のフィックスパックでも可）。コンテナイメージは修正後に作り直す。
AWS から本 CVE 個別の速報は確認できていない（2026-10-17 時点）。AWS 側の対処では直らない。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine / GKE / Cloud Run 上の Liberty で grpc-1.0 を使っている場合は、DT502929 の暫定修正を当て、イメージを作り直す。
GCP から本 CVE 個別の速報は確認できていない（2026-10-17 時点）。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM / AKS / Azure 上の Liberty で grpc-1.0 を使っている場合は、DT502929 の暫定修正を当て、イメージを作り直す。
Azure から本 CVE 個別の速報は確認できていない（2026-10-17 時点）。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Linux 上の Liberty も IBM の配布物で修正する（ディストリのパッケージではないので OS の更新では直らない）。grpc-1.0 を使っていれば DT502929 の暫定修正を当てる。
Ubuntu USN / Red Hat RHSA / Debian security tracker には載らない。
参照リンク
|
**grpc-1.0 機能を使っているかを先に確かめる。** IBM は Liberty がどの機能を使っているかの確認手順を案内しており（server.xml の featureManager や起動ログで確認できる）、grpc-1.0 を使っていなければ本件の条件からは外れる。 **使っている場合は修正を当てる。** IBM が示す方法は次のどちらか。 - 暫定修正（APAR **DT502929**）が要求する最低限のフィックスパックまで上げてから、その暫定修正を当てる - フィックスパック **26.0.0.11** 以降を当てる（IBM の提供予定は2026年第4四半期） **回避策は無い**（IBM）。26.0.0.11 はまだ出ていないので、当面は暫定修正が現実的な手段になる。 **完了条件**は、（1）grpc-1.0 を有効にしている全ての Liberty サーバーに DT502929 の修正が入っていること（または 26.0.0.11 以降であること）、（2）コンテナイメージで配っている場合は、修正済みのイメージに作り直して入れ替えたこと、の2点である。
Critical（CVSS 9.1）に分類されるIBM IBM WebSphere Application Server Liberty（grpc-1.0 機能）の脆弱性です。**IBM WebSphere Application Server Liberty で、gRPC のサービスメソッドに設定したアクセス制御を、認証なしで回避される欠陥がある。** IBM のセキュリティ情報（2026年10月13日公開）によれば、対象は Liberty **20.0.0.12〜26.0.0.10** で、**grpc-1.0 機能を有効にしている場合だけ**影響を受ける。 CVSS 3.1 は **9.1 Critical**（IBM の評価。AV:N/AC:L/PR:N/UI:N・機密性と完全性が High）。NVD の分析状況は Undergoing Analysis。同じセキュリティ情報で CVE-2026-95695（認可の不備・7.4）と CVE-2026-95696（例外処理によるサービス停止・6.5）も修正されている。悪用の報告は確認できておらず、CISA KEV にも収載されていない。 セキュリティ情報が対象としているのは Liberty だけで、WebSphere Application Server traditional には触れていない。
**grpc-1.0 機能を使っているかを先に確かめる。** IBM は Liberty がどの機能を使っているかの確認手順を案内しており（server.xml の featureManager や起動ログで確認できる）、grpc-1.0 を使っていなければ本件の条件からは外れる。 **使っている場合は修正を当てる。** IBM が示す方法は次のどちらか。 - 暫定修正（APAR **DT502929**）が要求する最低限のフィックスパックまで上げてから、その暫定修正を当てる - フィックスパック **26.0.0.11** 以降を当てる（IBM の提供予定は2026年第4四半期） **回避策は無い**（IBM）。26.0.0.11 はまだ出ていないので、当面は暫定修正が現実的な手段になる。 **完了条件**は、（1）grpc-1.0 を有効にしている全ての Liberty サーバーに DT502929 の修正が入っていること（または 26.0.0.11 以降であること）、（2）コンテナイメージで配っている場合は、修正済みのイメージに作り直して入れ替えたこと、の2点である。
IBM IBM WebSphere Application Server Liberty（grpc-1.0 機能） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-93895）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。