要点
2026-09-16 02時台（JST）の確認では、Apache ActiveMQ Artemisを基盤とするRed Hat AMQ Broker向けに、認証前の操作や認証不備につながる重要な脆弱性3件を確認しました。外部または信頼できないネットワークからブローカーポートへ接続できる環境では、Red Hatの修正済みパッケージを優先して適用し、更新まで接続元を制限してください。
RHEL 9、Ubuntu 24.04 LTS、Windows Server、Apache HTTP Server・Tomcat・Struts・Commonsについては、今回の期間と基準に合う新規主要項目を一次情報から確定できませんでした。ただし、通常のセキュリティ更新は継続してください。
主な脆弱性
CVE-2026-49362 / Artemis Coreプロトコルの認証なしキュー作成
- 対象: Red Hat AMQ Brokerのartemis-server（Apache ActiveMQ Artemisベース）。Coreプロトコルを受け付ける構成。
- 重要度/CVSS: Red Hat Important、CVSS 3.1で8.2。
- 影響: ネットワーク経由の未認証攻撃者がキューを作成でき、メッセージング環境の完全性を損なったり、リソース消費による可用性低下を招いたりするおそれがあります。
- 推奨対応: RHSA-2026:66488またはRHSA-2026:66545で案内された修正版へ更新してください。更新まで、ブローカーポートへの接続元を信頼できるホストに限定します。
- 出典: Red Hat CVE-2026-49362
CVE-2026-67593 / OpenWire経由の認証前キュー削除
- 対象: Red Hat AMQ Brokerのartemis-openwire-protocol（Apache ActiveMQ Artemisベース）。OpenWireを有効にした構成。
- 重要度/CVSS: Red Hat Important、CVSS 3.1で8.2。
- 影響: 未認証のリモート攻撃者がRemoveSubscriptionInfoを悪用し、永続キューを削除できる可能性があります。メッセージ処理の中断やデータ消失につながるおそれがあります。
- 推奨対応: RHSA-2026:66488またはRHSA-2026:66545の修正版を適用してください。更新まで不要なOpenWireアクセプターを停止し、必要な場合も到達元を制限します。
- 出典: Red Hat CVE-2026-67593
CVE-2026-57967 / Apache ActiveMQ Artemisのセッション乗っ取り
- 対象: Red Hat AMQ Brokerのartemis-server（Apache ActiveMQ Artemisベース）。影響を受けるバージョンは製品別アドバイザリーで確認してください。
- 重要度/CVSS: Red Hat Important、CVSS 3.1で7.4。
- 影響: 認証処理の不足により、未認証のネットワーク攻撃者が既存セッションを乗っ取り、メッセージの機密性と完全性を損なう可能性があります。
- 推奨対応: RHSA-2026:66488またはRHSA-2026:66545に従って更新してください。更新完了までブローカーを外部公開せず、接続ログと不審なセッションを確認します。
- 出典: Red Hat CVE-2026-57967
対象別の確認結果
- RHEL 9: 基盤OSについて、今回の基準に合う新規主要項目を確定できませんでした。RHEL 9上で関連ミドルウェアを運用している場合も、製品サブスクリプションと個別アドバイザリーを確認してください。
- Ubuntu 24.04 LTS: 期間中に複数のUbuntu Security Noticeが公開されましたが、対象と基準の両方を満たす主要項目として短時間で確定できたものはありませんでした。通常の更新を適用してください。Ubuntu Security Notices
- Windows Server: 今回の確認範囲では新規主要項目を一次情報から確定できませんでした。対象バージョンの月例更新をMicrosoft Security Update Guideで確認してください。Microsoft Security Update Guide
- Apache: HTTP Server、Tomcat、Struts、Commonsでは期間中の新規主要項目を確認できませんでした。一方、Apache ActiveMQ Artemisを基盤とするRed Hat AMQ Brokerでは上記3件が重要です。Apache HTTP Server Security / Apache Tomcat 11 Security
補足
確認日時: 2026-09-16 02:00-02:04 JST。2026-09-09から2026-09-16までに公開または更新された情報を中心に、Red Hat、Ubuntu、Microsoft MSRC、Apacheの公式情報を確認しました。CVSS 8.0以上、またはベンダー評価Critical・Important・Highを優先し、対象外製品、基準未満の項目、一次情報で影響を確定できない項目は主要項目から除外しています。
前回確認分（2026-09-09時点）
要点
2026-09-09 02時台（JST）の確認では、認証なしで管理者権限を取得されるおそれがある389 Directory ServerのCVE-2026-18922（Critical、CVSS 9.8）を主要項目として確認しました。該当製品を利用している場合は、ベンダー提供の修正版・アドバイザリーを確認し、更新までSASL PLAINを無効化してください。
Ubuntu 24.04 LTSでは多数のLinuxカーネル修正を含むUSN-8729-1が公開されています。今回の基準に合う個別のHigh以上を短時間で確定できなかったため主要項目には数えていませんが、通常のシステム更新と再起動を推奨します。
主な脆弱性
CVE-2026-18922 / 389 Directory Serverの認証回避
- 対象: Red Hat 389 Directory Server。RHEL 9上でRed Hat Directory Serverを運用している構成は、利用バージョンと修正状況を確認してください。
- 重要度/CVSS: Red Hat Critical、CVSS 3.1で9.8。
- 影響: リモートの未認証攻撃者が、同一接続上で失敗したSASL PLAINバインドの古い認証情報を悪用し、有効な資格情報なしでDirectory Manager権限を得る可能性があります。機密性・完全性・可用性が全面的に損なわれるおそれがあります。
- 推奨対応: Red Hatの製品別修正情報を確認して更新してください。更新までの緩和策として、必要な方式だけを許可し、SASL PLAINを許可対象から外します。LDAPSを使っているだけでは防げません。
- 出典: Red Hat CVE-2026-18922
対象別の確認結果
- RHEL 9: 基盤OSそのものについて新規主要項目を確定できませんでした。RHEL 9上で389 Directory Serverを運用している場合はCVE-2026-18922を優先確認してください。
- Ubuntu 24.04 LTS: 2026-09-07公開のUSN-8729-1でLinuxカーネルの多数の問題が修正されています。標準更新を適用し、再起動してください。サードパーティー製カーネルモジュールはABI変更に伴う再構築が必要です。Ubuntu USN-8729-1
- Windows Server: 今回の確認範囲では、基準に合う新規主要項目を一次情報から確定できませんでした。Microsoft Security Update Guideで対象バージョンの更新を継続確認してください。Microsoft Security Update Guide
- Apache主要製品: Apache HTTP Server、Tomcat、Struts、Commonsで、新しいHigh以上の主要項目を確定できませんでした。利用中の製品ごとに公式セキュリティ情報を継続確認してください。Apache HTTP Server vulnerabilities / Apache Tomcat security
確認範囲
確認日時: 2026-09-09 02:00-02:03 JST。2026-09-02から2026-09-09までに公開または更新された情報を中心に、Red Hat、Ubuntu、Microsoft MSRC、Apacheの公式情報を確認しました。速報性を優先し、対象外製品、基準未満の項目、一次情報で影響を確定できない項目は省略しています。