IBMが2026年8月15日、UNIX系OS「AIX」と仮想化基盤「PowerVM VIOS」向けの累積セキュリティ更新を公開しました。1本のセキュリティ速報で修正されたCVEは191件、うちCVSS 9.0以上が36件です。回避策は速報に「なし（None）」と明記されており、対応はサービスパック適用の一択です。
ただし本当の山場は件数ではありません。AIXにパッチを配る仕組みそのもの、NIM（Network Installation Management）にも脆弱性が5件含まれ、今回の更新でNIMの通信仕様が変わります。適用順序を誤ると、配布基盤とクライアントのセキュア通信が一時的に途切れます。
この記事でわかること
- 191件のCVEを「AIX/VIOS本体由来」と「同梱コンポーネント由来」に分けて集計した結果
- 修正版のバージョン（AIXのTL/SP、VIOSのFP）と、自社の適用状況を確認するコマンド
- パッチ配布基盤NIMの脆弱性5件と、通信仕様変更にともなう適用順序の落とし穴
- 「うちはIBM iしか使っていない」という組織にもVIOSが動いている理由
AIX・PowerVM VIOS・NIMとは何者か
AIXとは、IBMのPowerサーバ上で動作するUNIX系のサーバOSです。勘定系・生産管理・大規模データベースなど、止められない基幹システムの土台として、主にオンプレミスで使われています。
PowerVM VIOSとは、Powerサーバの中に専用の論理区画（LPAR）として置かれ、物理ディスクやFC／Ethernetアダプタを他の区画に貸し出す仮想I/Oサーバです。ここが今回の「自分ごと」ポイントで、IBM公式ドキュメントによれば、VIOSがI/Oを提供する相手（クライアント論理区画）にはAIXだけでなくIBM iとLinuxも含まれます。「うちはIBM i（AS/400系）だけ」という組織でも下でVIOSが動いている可能性が高く、VIOSはAIXベースのためAIXの脆弱性がそのまま効きます。
NIMとは、AIXをネットワーク経由で導入・更新するための管理の仕組みです。NIMマスターが各クライアントにOSの導入やサービスパックの適用を配ります。今回はこの「配る側」に脆弱性が見つかりました。
該当判定は、AIXなら oslevel -s でTL/SPを確認し、IBMの速報が例示する lslpp -L | grep -i bos.mp64 で対象ファイルセットのレベルを見ます。VIOSは ioslevel です。
何が起きたのか
IBMのセキュリティ速報「Vulnerabilities in IBM AIX and PowerVM VIOS」は2026年8月15日に公開され、8月21日に「追加のインストール手順がある」ことを強調する形で概要が更新されました。対象はAIX 7.2および7.3、PowerVM VIOS 4.1です。
| 製品 | 修正レベル |
|---|---|
| AIX 7.3 TL04 | SP2 |
| AIX 7.3 TL03 | SP3 |
| AIX 7.3 TL02 | SP5 |
| AIX 7.2 TL05 | SP13 |
| PowerVM VIOS 4.1.2 | 4.1.2.20 |
| PowerVM VIOS 4.1.1 | 4.1.1.30 |
| PowerVM VIOS 4.1.0 | 4.1.0.50 |
APARはIJ59563〜IJ59566、提供開始は2026年8月14日です。これらのSP/FPは累積で、過去に公表されたAIX/VIOSのセキュリティ修正をすべて含みます。適用完了にはLPARの再起動が必要で、AIXではLive Updateを使えば再起動を回避できるとされています。
悪用に関する記載は速報にありません。本記事の作成にあたりCISAのKnown Exploited Vulnerabilities（KEV）カタログと照合しましたが、今回の191件は2026年8月26日時点でいずれも未登録でした。ただし回避策が「なし」である以上、緩和で時間を稼ぐ選択肢は存在しない点が優先度判断に効いてきます。
191件の内訳を数えてみた
速報に並ぶCVE記述をそのまま読むのは現実的ではないため、記述文を機械的に分類して集計しました。
| 区分 | 件数 |
|---|---|
| AIX／VIOS本体の実装に起因するもの | 145件 |
| 同梱コンポーネント（OSS等）に起因するもの | 46件 |
同梱側の46件の内訳は、Java関連（Oracle Java SE／Eclipse OpenJ9／OMR）が19件、PostgreSQLが13件、OpenSSHが7件、Perlの圧縮系モジュールが6件、Little CMSが1件でした。
深刻度の分布は次のようになります。
| CVSS v3 基本値 | 件数 |
|---|---|
| 9.0以上 | 36件（9.9が3件、9.8が23件） |
| 7.0〜8.9 | 99件 |
| 4.0〜6.9 | 47件 |
| 4.0未満 | 9件 |
本体側145件をCWEで見ると、境界外書き込み（CWE-787）が42件で突出し、OSコマンドインジェクション（CWE-78）11件、リソースの枯渇（CWE-400）11件、境界外読み取り（CWE-125）9件、不適切な権限管理（CWE-269）8件と続きます。メモリ安全性の問題がまとめて棚卸しされた形です（深刻度の読み方はCVSSとは？脆弱性の深刻度を評価する仕組みと使い方を参照）。
この内訳が実務で効くのは、今回の46件はOSに同梱された版が対象であり、自社が個別に導入したPostgreSQLやJavaとは別物だという点です。逆に言えばOSのSPを当てない限り同梱側も直りません。ベンダー製品の中に大量のOSSが入っている構図は、Dell PowerProtect脆弱性359件を修正、更新の要点と同じ型です。
深刻度が高いのはどの脆弱性か
CVSS 9.9はCVE-2026-15068、CVE-2026-16816、CVE-2026-18835の3件で、いずれもOSコマンドインジェクション（CWE-78）。認証済みのリモート攻撃者が任意のコマンドを実行でき、うちCVE-2026-15068はNIMが対象です。9.8の23件は認証不要のリモート攻撃が成立する類型で、たとえばCVE-2026-16656は不適切な認証（CWE-287）によるroot権限取得、CVE-2026-16894はスタックバッファオーバーフローによる任意コード実行です。
件数に埋もれがちですが、性質として際立つのはCVE-2026-15065（CVSS 9.1、CWE-312）です。IBMの記述は「公開されている更新ファイルに中間認証局の秘密鍵が露出しているため、リモートの攻撃者がセキュリティ制限を回避できる可能性がある」というもので、配布物そのものに信頼の根拠が入り込んでいたことになります。証明書の信頼基盤が崩れると製品の外側から手が出せなくなる点は、エプソン製プリンター266機種に失効ルート証明書と通じます。なおNIM関連の5件（CVE-2026-14970／15061／15065／15068／15078）は、いずれもOneconsult AGからIBMへ報告されたと謝辞に記されています。
最大の落とし穴はNIMの通信仕様変更
IBMは速報とは別に、NIMのセキュア通信（nimsh）に関する技術文書を公開しています。今回のセキュリティサービスパック以降、マスターとクライアントの認証・通信が次のように変わります。
- クライアントの自己登録がデフォルトで無効になる（各クライアントを事前にマスター側で定義する必要がある）
- 登録後のnimshセキュア通信が相互TLS（mTLS）になり、双方を証明書で認証する
- クライアント定義時にUUIDを指定でき、登録時にマスターが照合する
- CA署名証明書に対応し、企業のPKIと統合できる
nimconfigがデフォルトでセキュアなnimshを構成する
問題は適用順序です。IBMは「クライアントを先に、NIMマスターを後に」を推奨しています。マスターを先に上げると、プロトコル更新のため旧レベルのクライアントとのセキュアnimsh通信が移行期間中は使えなくなります（クライアントを上げれば自動復旧し、それ以外の悪影響はないとされています）。逆にクライアントが先だと、初回ブート時の nimclient -c が完了できず、1分ごとに再試行するcronジョブを自動生成してマスターの更新を待つ挙動になります。
つまりセキュリティ修正と運用仕様の変更が同じサービスパックに同梱されている型です。「191件のCVEを直すだけ」と説明して作業計画を立てると、配布基盤が一時的に使えない時間帯を見落とします。管理する側のツールが穴になる構図はSKYSEA Client Viewに5件の脆弱性、SYSTEM権限で任意コード実行でも触れましたが、今回はそこに仕様変更が重なっています。
VIOSは適用後にもう一手ある
VIOS 4.1.0と4.1.1は、フィックスパック（4.1.0.50／4.1.1.30）適用後にPostgreSQL 15へ移行する追加手順が必要で、レベルごとに手順文書が用意されています（4.1.2は対象外）。「FPを当てた＝完了」ではないため、作業手順書の最後にこの一手を必ず入れてください。既存のNIMセキュリティ用暫定修正（iFix）がある場合、更新前に emgr -FR で登録解除するよう案内されている点も見落としやすい箇所です。
現場目線で気になること
基幹系のUNIXは、Windowsサーバのように「毎月当てる」文化になっていない現場がまだ多いと感じます。年1〜2回の定期メンテナンスウィンドウでまとめて、というのが実態で、VIOSに至っては止めると上に乗る区画のI/Oがまとめて止まるため、情シス単独では日程すら決められません。「回避策なし・要再起動」はその調整が最も苦しい組み合わせです。資産管理の面でも、台帳ではAIXが「基幹サーバ」の1行で終わり、その下のVIOSや傍らで動くNIMマスターが独立した管理単位になっていないことが少なくありません。
経営層や業務部門に191件のCVE一覧を見せても判断材料にはなりません。「回避策がない」「再起動が要る」「配布の仕組みが変わるので順序を守る必要がある」の3点に圧縮し、メンテナンスウィンドウの確保を先に取りにいくほうが早く着地します。
情シスはどうすべきか
まずは前述のコマンドで自社のTL/SP・VIOSレベルを確認し、修正レベルとの差分を出すところからです。IBM自身も、速報とリリースノートを確認して影響有無とアプリケーション互換性を判断し、非本番環境でテストしたうえで標準の変更管理プロセスに従うことを推奨しています。件数に引きずられて手順を飛ばすと、基幹系では被害のほうが大きくなります。
優先度の考え方に不安がある場合は、自前でチェックリストを作るより公的な指針に当たるのが早道です。脆弱性管理の基本線はIPAの中小企業の情報セキュリティ対策ガイドラインで整理でき、基幹システムの停止をともなう対応はIPAのセキュリティインシデント対応 机上演習教材で一度机上で通しておく価値があります。運用担当者への「順序を守る」「事後手順まで含めて完了とみなす」という地道な周知も、今回のケースでは効いてきます。
まとめ
- 2026年8月15日公開の速報でAIX 7.2/7.3・PowerVM VIOS 4.1のCVE 191件を修正。回避策はなく、SP/FP適用とLPAR再起動が必要（AIXはLive Updateで回避可）
- 内訳は本体由来145件・同梱コンポーネント由来46件。CVSS 9.0以上は36件で、最上位の9.9はいずれもOSコマンドインジェクション
- 最大の実務リスクはNIMの通信仕様変更。適用順序は「クライアント→マスター」、VIOS 4.1.0/4.1.1は適用後にPostgreSQL 15移行の追加手順が要る
出典
- IBM Security Bulletin: Vulnerabilities in IBM AIX and PowerVM VIOS（2026年8月15日公開／8月21日更新）
- IBM: The NIM Security enhancements for NIM secure (nimsh) communication
- IBM: VIOS 4.1.0.50 post-update instructions ／ VIOS 4.1.1.30 post-update instructions
- IBM Documentation: Virtual I/O Server overview
- JVNDB-2026-029508（CVE-2026-15065）
- CISA Known Exploited Vulnerabilities Catalog（2026年8月26日時点で該当なしを確認）
