IBM WebSphere Web Server Plug-ins RCE & HTTP Request Smuggling Vulnerabilities (CVE-2026-8633/CVE-2026-8620) Security Bulletin

脆弱性の概要 IBM WebSphere Application Server および WebSphere Application Server Liberty において、Web Server Plug-ins を使用した場合に、リモートコード実行および HTTP リクエストスミスリングを含む複数の脆弱性が存在します。 影響範囲 CVE-2026-8633 - 説明: IBM WebSphere Application Server および WebSphere Application Server Liberty において、Web Server Plug-ins を使用している際、特製の要求によりリモートコード実行の被害を受ける可能性があります。 - CWE: CWE-94: コード生成の不適切な制御 (コードインジェクション) - CVSS ベーススコア: 9.8 - CVSS ベクトル: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) CVE-2026-8620 - 説明: IBM WebSphere Application Server および WebSphere Application Server Liberty において、Web Server Plug-ins を使用している際、特製の要求により HTTP リクエストスミスリングの被害を受ける可能性があります。 - CWE: CWE-444: HTTP 要求の解釈の不整合 (HTTP リクエスト/レスポンス スミスリング) - CVSS ベーススコア: 7.5 - CVSS ベクトル: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) 修復方法 IBM は、現在利用可能な Web Server Plug-ins のワークアラウンドまたはパッチを含む修正パックを適用して脆弱性を解決することを強く推奨します。 IBM WebSphere Application Server 用 Web Server Plug-ins (IBM WebSphere Application Server 従来版または Liberty 向け): - V9.0.0.0 から 9.0.5.27 の場合: - 必要なワークアラウンドのレベルにアップグレードし、PH71342 を解決する Web Server Plug-ins のワークアラウンドを適用してください。 - もしくは、Web Server Plug-ins Fix Pack 9.0.5.28 以降を適用してください（目標提供時期：2026年第2四半期）。 - V8.5.0.0 から 8.5.5.29 の場合: - 必要なワークアラウンドのレベルにアップグレードし、PH71342 を解決する Web Server Plug-ins のワークアラウンドを適用してください。 - もしくは、Web Server Plug-ins Fix Pack 8.5.5.30 以降を適用してください（目標提供時期：2026年第3四半期）。 影響を受ける製品およびバージョン その他の情報 ドキュメント番号: 7274072 修正日: 2026年5月26日 初期公開日: 2026年5月26日 参考リンク 完全な CVSS v3 ガイド オンライン計算ツール v3 関連リソース IBM Secure Engineering Web ポータル IBM Product Security Incident Response ブログ 免責事項 フォーラム・イベント・レスポンス・アンド・セキュリティ・チーム（FIRST）によると、共通脆弱性評価システム（CVSS）は「業界オープンスタンダード」であり、脆弱性の重大性を伝達し、対応の緊急性と優先順位を決定するのを支援することを目的としています。IBM は CVSS スコアを「現状有姿（as-is）」で提供し、明示的または黙示的な保証は一切行いません。お客様は、実際のまたは潜在的なセキュリティ脆弱性の影響を評価する責任を負います。IBM は、製品ポートフォリオに含まれるコンポーネントの記録を定期的に更新しています。この取り組みの一環として、IBM が製品/サービスにおいて以前に識別されていなかったパッケージを発見した場合、その CVE 日付に関わらず、関連する脆弱性に対処します。古い CVEID が含まれているからといって、引用された製品がその日以来 IBM によって使用されていることを示すものではなく、また IBM がその時点でその脆弱性を把握していたことを示すものでもありません。私たちは、顧客に関連する脆弱性に関する理解を深めるよう努めており、IBM のセキュリティ公告は「影響を受ける製品およびバージョン」の引用のみをサポートすることを目的としており、IBM がサポートおよび対応している製品およびバージョンのみをサポートしています。また、これらは最終サポートまたは保証期限を過ぎていません。したがって、サポートされていない製品や拡張サポート製品のバージョンがこのセキュリティ公告で引用されていないことは、IBM がそれらが脆弱性の影響を受けないと判断したことを意味するものではありません。このセキュリティ公告で 1 つ以上のサポートされていないバージョンが引用されたからといって、IBM に、サポートされていないまたは拡張サポート製品/バージョンに対して修正を提供する義務が発生するものではありません。

目標達成 すべての支援者に感謝 — 100%達成しました！

IBM WebSphere Web Server Plug-ins RCE & HTTP Request Smuggling Vulnerabilities (CVE-2026-8633/CVE-2026-8620) Security Bulletin

目標達成すべての支援者に感謝 — 100%達成しました！