IBM WebSphere に深刻な脆弱性3件 RCE・なりすまし（CVE-2026-9319ほか）

【更新 2026-07-22】本記事を再度見直しました。前回（2026-07-01）に「要確認」としていた CVE-2026-9311 の技術的性質を一次情報（CVE データベース掲載の IBM 記載）で確認し、確定情報に更新しました。主な修正点：①CVE-2026-9311 は「SAML／デシリアライズ」ではなくセキュリティ制御のバイパスに起因するコードインジェクション（CWE-94、CVSS 9.0、未認証）であることを確認し、取り消し線・要確認注記を確定記述に置き換えました。②SAML SSO のデシリアライズ（CWE-502）による RCE は、同じ IBM Security Bulletin に併載された別番号の CVE-2026-9330（CVSS 8.5、低権限の認証が必要）の性質であることを明確化しました。

【更新 2026-07-01】本記事を見直し、修正しました。主な修正点：①Fix Pack「8.5.5.30（既リリース）」の記述を、9.0.5.29 とともに 3Q2026 提供予定である旨に訂正しました。②CVE-2026-9311 を「SAML SSO のデシリアライズによる RCE」と説明していた箇所について、本記事の出典を含む複数の解説（Threat-Modeling.com／CyCognito）が「SAML やデシリアライズではなく、セキュリティ制御のバイパスに起因するコードインジェクション（CWE-94）」と述べており IBM 一次情報で確認できていないため、該当箇所に取り消し線と要確認の注記を追加しました。

IBM WebSphere Application Server 8.5 および 9.0 に、リモートコード実行（RCE）と認証回避（なりすまし）を招く深刻な脆弱性3件が2026年6月1日に公表されました。CVSS スコアは最大 9.1（Critical）で、未認証の攻撃者が細工したリクエスト1本で任意コードを実行できる可能性があります。金融・官公庁・製造業など WebSphere を基幹システムで稼働させている組織は、至急パッチ適用の計画を立ててください。

CVE-2026-8644（CVSS 9.1）：認証回避・なりすまし
CVE-2026-9311（CVSS 9.0）：セキュリティ制御のバイパスによるコードインジェクション（RCE・CWE-94・未認証）。※同じ IBM Bulletin に併載の CVE-2026-9330（CVSS 8.5・低権限の認証が必要）は SAML SSO のデシリアライズ（CWE-502）による RCE
CVE-2026-9319（CVSS 9.0）：JAX-WS デシリアライズによる RCE
影響バージョン：WebSphere AS 8.5（8.5.5.30 未満）、9.0（9.0.5.29 未満）
対応：IBM 提供の Interim Fix（APAR PH71422/PH71453/PH71454）を適用

3件の脆弱性の概要（2026年6月1日公表）
影響を受けるバージョン
各脆弱性の詳細
想定されるリスク
現場目線：WebSphere は「静かに残り続ける」インフラ
情シスがとるべき対策
まとめ
出典

3件の脆弱性の概要（2026年6月1日公表）

IBM は2026年6月1日、WebSphere Application Server（WAS）に影響する3系統の脆弱性を同時に公開しました。いずれも認証なしにネットワーク経由で悪用可能（攻撃ベクター：Network）という点が共通しており、インターネット公開しているポータルだけでなく、社内イントラネット越しのサービスも対象になり得ます。

今回の脆弱性の多くは デシリアライズ（逆シリアライズ）の不適切な実装 に起因しています。Java オブジェクトの受け取り口で細工されたバイナリを処理してしまうことで、攻撃者が任意クラスのコードを実行できてしまう古典的かつ根深い問題です（ただし後述のとおり CVE-2026-9311 のみは「セキュリティ制御のバイパスに起因するコードインジェクション」で、デシリアライズ由来ではありません）。

影響を受けるバージョン

製品	影響バージョン	修正バージョン
WebSphere Application Server 9.0	9.0.0.0 ～ 9.0.5.28	9.0.5.29（3Q2026 予定）または Interim Fix 適用
WebSphere Application Server 8.5	8.5.0.0 ～ 8.5.5.29	8.5.5.30（3Q2026 予定）または Interim Fix 適用

WebSphere Application Server Liberty（リバティ）は今回の3件には含まれません。ただし同時期に公開された別の脆弱性（CVE-2026-8633/8620 など）の影響を受ける可能性があるため、Liberty 系も並行して IBMセキュリティアドバイザリを確認してください。

各脆弱性の詳細

CVE-2026-8644：認証回避・なりすまし（CVSS 9.1）

CVE-2026-8644 とは何か？
WebSphere の認証機構に欠陥があり、攻撃者が任意のユーザー（管理者を含む）になりすまして操作できる脆弱性です（CWE-290：認証スプーフィングによるバイパス）。

CVSS 3.1 スコア：9.1（Critical）
ベクター：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
攻撃条件：ネットワーク経由・特権不要・ユーザー操作不要
対応 APAR：PH71422

攻撃に成功した場合、管理コンソールへの無断ログインや業務データの改ざん・削除といった影響が生じます。完全性（Integrity）と可用性（Availability）の両方が「高（High）」評価です。

CVE-2026-9311：セキュリティ制御のバイパスによる RCE（CVSS 9.0）／CVE-2026-9330：SAML SSO デシリアライズによる RCE（CVSS 8.5）

CVE-2026-9311 とは何か？
WebSphere のセキュリティ制御がバイパスされることで、細工した入力がサーバー上でコード（実行ロジック）として処理され、リモートコードを実行できる脆弱性です（CWE-94：コードインジェクション）。IBM の記載は「bypass of security controls によるリモートコード実行」であり、SAML やデシリアライズが根因ではありません。認証不要（PR:N）で悪用でき、CVSS は 9.0 です。

CVE-2026-9330 とは何か？
「SAML SSO のデシリアライズによる RCE」に当たるのは、同じ IBM Security Bulletin に併載された別番号の CVE-2026-9330 です（CWE-502：信頼されないデータのデシリアライズ）。SAML Web シングルサインオンコンポーネントで細工した HTTP リクエストを処理させ、classpath 上のガジェットチェーンと組み合わせることで任意コードを実行できます。ただし CVE-2026-9311 と異なり低権限の認証が必要（PR:L）で、CVSS は 8.5 とやや低い評価です。

CVE-2026-9311：CVSS 9.0（Critical）／ベクター AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H（認証不要・CWE-94）
CVE-2026-9330：CVSS 8.5（Critical）／ベクター AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H（低権限の認証が必要・SAML SSO 構成が対象・CWE-502）
両者とも対応 APAR：PH71453

SAML SSO を有効にしている構成では、デシリアライズ由来の CVE-2026-9330 の影響を特に確認してください。一方 CVE-2026-9311 は SAML の利用有無にかかわらず影響し得るため、いずれにしても Interim Fix（PH71453）の適用を計画してください。

CVE-2026-9319：JAX-WS デシリアライズによる RCE（CVSS 9.0）

CVE-2026-9319 とは何か？
WS-Security を有効にした JAX-WS エンドポイントにおける逆シリアライズの欠陥です。攻撃者は悪意を持った Java オブジェクトを含む SOAP メッセージを送信することで任意コードを実行できます（CWE-502：信頼されないデータのデシリアライズ）。

CVSS 3.1 スコア：9.0（Critical）
ベクター：AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
攻撃条件：ネットワーク経由・認証不要（ただし AC:H＝攻撃の複雑さは高）
技術的根因：ObjectInputStream.readObject() の前にクラス許可リストや先読みフィルタが実装されておらず、ガジェットチェーンが利用可能
対応 APAR：PH71454

攻撃の複雑さ（AC）は「高（H）」ですが、スコープ（S）が「変化（Changed）」で機密性・完全性・可用性すべて「高（H）」です。WebSphere ホスト外のシステムへの影響拡大も視野に入れる必要があります。

想定されるリスク

今回の3件が組み合わさった場合のシナリオは深刻です。

内部情報の漏えい：なりすましによる管理コンソールへのアクセスで、ユーザー情報や設定情報が窃取される
サーバー乗っ取り：RCE により攻撃者がサーバー上で任意コマンドを実行、ランサムウェアのインストールや踏み台化が可能
業務停止：基幹 AP サーバーが侵害された場合の業務影響は広範

なお2026年6月時点では野生での悪用（野良 PoC による攻撃活動）は公式確認されていませんが、CVSS が 9.0 を超え IBM 公表から間もないこのタイミングは「公表後の攻撃激化フェーズ」に入りやすい時期です。早め早めの対応が現実的なリスク低減につながります。

現場目線：WebSphere は「静かに残り続ける」インフラ

WebSphere は2000年代に多くの日本企業・官公庁が基幹システムの AP サーバーとして採用した製品です。今でも勘定系システム、人事・給与システム、電子申請ポータルなどで稼働し続けているケースは少なくありません。

こういったシステムは「動いているから触らない」という運用方針で、FixPack の更新が何年も止まっていることがあります。今回の CVSS 9.1 は経営層にインパクトを示す良い数字です。「テスト工数がかかる」「ベンダー費用の捻出が難しい」という現実はありますが、パッチ未適用のまま稼働を続けることのリスクを、今回の公表を機に再評価してほしいところです。

情シスがとるべき対策

まず IBM のセキュリティアドバイザリを確認し、以下の対応を計画してください。

バージョン確認：管理コンソールまたは versionInfo.sh で WebSphere AS のバージョンを確認する（8.5.x/9.0.x）
Interim Fix の適用：Fix Pack のリリースを待てない場合は APAR PH71422・PH71453・PH71454 の Interim Fix を同一メンテナンスウインドウで適用する（IBMサポートページから取得）
Fix Pack へのアップグレード：8.5.5.30 以降、9.0.5.29 以降（いずれも 3Q2026 提供予定）へのアップグレードを計画する
緩和策（パッチ即時適用が困難な場合）
- JAX-WS エンドポイントで WS-Security が不要なら無効化
- JVM のデシリアライズフィルタ（jdk.serialFilter）を設定
- WAF（Webアプリケーションファイアウォール）でJava シリアライズシグネチャをブロック
- SAML SSO 未使用の場合はコンポーネントの無効化を検討
インターネット公開範囲の確認：WebSphere の管理コンソール（デフォルト9060/9043番ポート）が外部に露出していないかを確認する

IPA・JPCERT/CC の公式ガイドラインも合わせて参照してください。

脆弱性管理・パッチ運用の基本的な考え方については、当サイトの脆弱性・脅威情報カテゴリも参考にしてください。

まとめ

IBM WebSphere AS 8.5/9.0 に CVSS 9.1 のなりすまし（CVE-2026-8644）と CVSS 9.0 の RCE 脆弱性2件（CVE-2026-9311/9319）が2026年6月1日に公表された。
CVE-2026-9311 はセキュリティ制御のバイパスによるコードインジェクション（未認証）、CVE-2026-9319 は JAX-WS のデシリアライズ（未認証）。SAML SSO のデシリアライズは併載の CVE-2026-9330（CVSS 8.5・低権限認証要）で、混同しないこと。
未認証でネットワーク越しに攻撃可能で、基幹システムへの影響が大きい。金融・官公庁・製造業など WebSphere 稼働組織は優先度高で対応すること。
APAR PH71422/PH71453/PH71454 の Interim Fix を同一メンテナンスウインドウで適用し、最終的には 8.5.5.30/9.0.5.29 以降（いずれも 3Q2026 提供予定）へアップグレードする計画を立てる。