IBM AIXに脆弱性191件、23件はログイン不要でサーバー乗っ取り

IBMが2026年8月15日、業務用OS「AIX」と仮想化基盤「PowerVM VIOS」向けのセキュリティ情報を公開しました。1本の告知にまとめられた脆弱性は191件で、そのうち23件は、ログインなしにネットワーク越しで任意のプログラムを実行できる危険度9.8（10点満点）です。さらに、一般アカウントからサーバー全体を掌握できる9.9が3件あります。

AIXはIBMのサーバー機「Power Systems」で動くUNIX系のOSで、日本では銀行・保険・製造業の基幹システムに使われています。VIOSはその上で仮想サーバーを束ねる土台です。IBMは回避策を「なし」と明記しており、指定されたサービスパックへの更新以外に塞ぐ手段はありません。

AIXとVIOSで何が公開されたのか

今回のセキュリティ情報は、個別の脆弱性ごとに小分けにされたものではありません。OS本体、仮想化まわり、同梱されている外部製の部品まで含めて191件を1本にまとめ、累積のサービスパックとして配る形になっています。IBMはこの中で、危険度9.0以上を35件、8.8を26件挙げています。

危険度の内訳は次のとおりです。

CVE-2026-16885ほか: ログイン不要で乗っ取られる23件（9.8）

9.8が付いた23件は、いずれも認証も利用者の操作も要らず、ネットワークから届くだけで成立するものです。中身はメモリの扱いを誤るタイプが大半で、IBMの説明ではスタックバッファオーバーフロー、解放済みメモリの再利用、範囲外書き込みなどが並びます。成立すると攻撃者は任意のプログラムを実行できます。

認証の作りそのものを破るものも混じっています。CVE-2026-16656は認証不備で管理者権限（root）を直接取られるもの、CVE-2026-17142は同じく認証不備から任意のコマンドを実行されるものです。番号を挙げると次の23件になります。

CVE-2026-16834 / CVE-2026-16840 / CVE-2026-16845 / CVE-2026-16656 / CVE-2026-16862 / CVE-2026-16864 / CVE-2026-16872 / CVE-2026-16882 / CVE-2026-16885 / CVE-2026-16894 / CVE-2026-16913 / CVE-2026-16917 / CVE-2026-16919 / CVE-2026-17040 / CVE-2026-17118 / CVE-2026-17122 / CVE-2026-17136 / CVE-2026-17141 / CVE-2026-17142 / CVE-2026-17145 / CVE-2026-17152 / CVE-2026-17157 / CVE-2026-17160

CVE-2026-18835ほか: 一般アカウントから全体を取られる3件（9.9）

数字としては今回の最高値です。9.8より高いのは、攻撃の影響がその区画の外まで広がると評価されているためです。3件とも、OSに渡す命令文の組み立てが甘く、細工した文字列を混ぜ込むと任意のコマンドが動いてしまうタイプです。

• CVE-2026-18835（9.9）— ログイン済みの利用者が任意のコマンドを実行できる
• CVE-2026-16816（9.9）— 同上
• CVE-2026-15068（9.9）— AIX NIMで同様の問題。NIMはネットワーク経由でOSを配布・導入する仕組み

NIM（Network Installation Manager）まわりは今回ほかにも並んでいます。CVE-2026-15065（9.1）は、公開されている更新ファイルの中に中間認証局の秘密鍵が入っていたというもので、CVE-2026-15078（8.1）はTLS証明書の検証不備です。NIMサーバーは配下のAIXへOSイメージを配る立場にあり、ここを押さえられると配布先ごと危険にさらされます。これら5件はスイスのOneconsult AGからIBMへ報告されたと明記されています。

影響するバージョンと、直ったバージョン

IBMが挙げた対象と修正レベルは次のとおりです。数字はIBMのセキュリティ情報の表記をそのまま写しています。修正は2026年8月14日から入手できます。

これらのサービスパックは累積で、過去に公表されたAIX・VIOSのセキュリティ修正をすべて含みます。同じTL（テクノロジーレベル）の中であれば、どの古いレベルからでも直接あてられます。

注意点が3つあります。1つめは区画の再起動が必要なこと。AIX側は「Live Update」を使えば再起動を回避できます。2つめは、nimshのセキュア通信で配る場合は追加の手順が要ること。今回マスターとクライアント間のプロトコルが強化されたためで、IBMが専用の案内を出しています。3つめはVIOS 4.1.0と4.1.1では、適用後にPostgres15への移行作業が別途必要なことです。

使っているバージョンを確認する

まず自社の機械が対象かどうかを見ます。IBMは今回、問題のあるファイルセットとしてbos.mp64を挙げ、次の範囲を対象としています。

導入されているかどうかは、IBMが案内しているとおり次のコマンドで確認します。

OS全体のレベル（TLとSP）を見るときは oslevel -s を使います。返ってくる値と、修正済みレベルの対応は次のとおりです。

今回は個別修正（iFix）が用意されていません。AIXの運用では emgr -l で個別修正の適用状況を見る習慣がありますが、今回のセキュリティ情報にはiFixの記載も配布物もなく、累積のサービスパックだけが対処です。適用済みかどうかは emgr ではなく、上の oslevel -s の値で判定してください。修正の入手先はIBM Fix Centralです。

攻撃されているのか

2026年8月20日時点で、これらの脆弱性が実際の攻撃に使われたという報告はありません。IBMのセキュリティ情報にも悪用に関する記述はなく、実証コードの公開も確認されていません。米CISAが実際に攻撃で使われた脆弱性をまとめている「悪用が確認された脆弱性カタログ」（KEV）にも、2026年8月19日版の時点で今回の番号は1件も入っていません。掲載状況はCISA KEV ダッシュボード（日本語版）で確認できます。

ただし今回は回避策がありません。IBMは「Workarounds and Mitigations: None」と書いています。設定変更でしのぐ余地がないため、悪用が始まってから慌てて動くと、そのときに打てる手も同じ「サービスパックの適用」しか残っていません。AIXが載っているのは止めにくい基幹システムです。停止を伴う作業ほど、計画に時間が要ります。

Power Systemsのファームウェアにも21件

同じ日にIBMは、AIXが載るサーバー機本体のファームウェアについても21件のセキュリティ情報を出しています。こちらはCVEごとに別々の告知になっています。危険度の最高は9.6で、CVE-2026-16687（サービスプロセッサーでのコード実行）とCVE-2026-16835（管理用プロトコルの認証回避）の2件です。いずれも管理用ネットワークから認証なしで届きます。

ファームウェア側で見落としやすいのは、適用しただけでは直らないものが混じっている点です。IBMはリリースノートで「一部は遅延適用の修正であり、システムの再IPLが完了するまで完全には緩和されない」と明記しています。無停止で当てられたから対処済み、と台帳に書くと実態とずれます。細かいビルド番号は機種ごとに異なるので、自社の型番でリリースノートを引いてください。

攻撃の入口として現実的なのは管理用ネットワーク側です。IBMも回避策として「サービスプロセッサーのネットワークインターフェースへのアクセスを保護すること」を挙げています。残りの多くは、BMCやサービスプロセッサー上の権限をすでに持っていることが前提で、単独で侵入に使えるものではありません。

いま何をすればいいか

やることの順番は決まっています。

• oslevel -s と lslpp -L | grep -i bos.mp64 で、対象のAIX・VIOSを洗い出す
• NIMサーバーを使っているなら、そこを最優先にする。配布元が取られると配布先がまとめて危なくなる
• 外部やパートナー網に面している区画と、管理用ネットワークが業務用と分かれていない環境を次に置く
• 再起動を伴う作業の停止枠を確保する。AIXはLive Updateで回避できるが、事前検証が要る
• VIOS 4.1.0 / 4.1.1 は適用後のPostgres15移行まで含めて1つの作業として見積もる
• ファームウェア側は、再IPLまで完了して初めて対処済みと数える

サポート期限も確認しておくべきです。AIX 7.1は2023年4月30日で通常サポートが終了しており、今回のセキュリティ情報の対象にも入っていません。有償の延長サポート（2027年4月30日まで）を契約していない限り、7.1で動いている区画は塞ぐ手段がない状態です。同じくPowerVM VIOS 3.1も2026年4月30日で通常サポートを終えており、今回対象になっているのは4.1系だけです。一方、AIX 7.2とAIX 7.3については、IBMは現時点でサポート終了日を公表していません。IBMのライフサイクル情報は、期限が過ぎた版だけ日付を載せる方式になっています。7.2 TL05は次のサービスパックが2026年12月4日に予定されており、まだ修正が出続けている状態です。

ただしTL単位では期限が迫っているものがあります。AIX 7.3 TL02は2026年11月30日で修正提供が終わります。今回あてるSP5がこのTLの最後のサービスパックで、以降の予定はありません。7.3 TL02で運用している区画は、今回の適用とあわせてTL03かTL04への移行を計画に入れておかないと、次に同じ規模の告知が出たときにあてる先がなくなります。

まとめ

191件という数そのものより、内訳のほうが重要です。ログインも操作も要らずに任意のプログラムを実行できるものが23件あり、回避策は用意されていません。攻撃が始まっている形跡は今のところなく、そこは落ち着いて構えてよい材料です。

その猶予をどう使うかで差が出ます。AIXが載る基幹システムは止める調整に時間がかかり、VIOSやファームウェアの作業まで含めると、対象の洗い出しから完了まで数か月かかることも珍しくありません。まずは oslevel -s の結果を集めて、対象の台数を確定させるところからです。

参照元

• Security Bulletin: Vulnerabilities in IBM AIX and PowerVM VIOS（IBM、2026年8月15日公開）
• nimsh secure での適用に必要な追加手順（IBM）
• Security Bulletin: CVE-2026-16687（Power Systems ファームウェア）（IBM）
• Security Bulletin: CVE-2026-16835（Power Systems ファームウェア）（IBM）
• AIX support lifecycle information（IBM、2026年8月15日更新）
• IBM Fix Central
• CISA Known Exploited Vulnerabilities Catalog（2026年8月19日版で確認）