WebSphereに脆弱性14件、ログインなしで乗っ取りの恐れ CVE-2026-14512

2026年7月28日、IBMが企業向けアプリケーション基盤「WebSphere Application Server」の欠陥を14件まとめて公表しました。最も重い1件は CVE-2026-14512 で、危険度を示すCVSSスコアは10点満点中9.8（Critical）。ログインを一切通さずに、サーバー上で好きなプログラムを動かされる恐れがあります。

WebSphere Application Server（以下WAS）は、銀行の勘定系、流通の在庫管理、製造業の生産管理といった「止まると業務が止まる」システムの土台として、いまも国内の大企業で現役で動いています。今回対象になっているのは 8.5系・9.0系（traditional）と、軽量版の Liberty です。8.5.5は2013年6月に出た系列ですが、IBMは「8.5.5と9.0.5に終了予定日はない」と明言しています。つまり13年前の系列が今日もサポート対象として、そして攻撃対象として現役です。

そして厄介なのは、14件すべてについて、完全な修正版（Fix Pack）がまだ出ていないことです。IBMの案内は「暫定パッチ（Interim Fix）を今すぐ当てるか、9月以降に出るFix Packを待て」という内容で、回避策（Workaround）の欄は全件「None」と書かれています。14件を性質ごとに整理したうえで、自分の環境が該当するかどうかを見分ける早見表を用意しました。IBM製品の脆弱性は5月以降ほぼ毎月WebSphere系に当たっており、その流れの中でも14件という数は突出しています。

7月28日に公表された14件の全体像

米国の脆弱性データベースNVDへの登録は、日本時間の7月29日朝（協定世界時7月28日20時17分〜21時17分）にまとめて行われました。CVSSスコアはいずれもIBM自身が付けた値で、NVDによる独自の再評価はまだ入っていません（登録状態は12件が「Received」、2件が「Awaiting Analysis」）。以下は全14件の一覧です。

数え方を整理すると、traditional（8.5 / 9.0）に該当するのが10件、Liberty に該当するのが8件で、うち4件（CVE-2026-14981 / 15064 / 15325 / 15328）が両方にまたがっています。CVSS 9.8 の2件はどちらも traditional 側にしかありません。Liberty だけを使っている環境の最高値は8.7です。

基幹の一番奥を取りに来るのは誰か

WASが置かれているのは、たいてい会社の一番奥です。振込を処理する、在庫を引き当てる、生産計画を回す。止めると営業が止まる場所です。そこを本気で取りに来るのは、脆弱なホストを片端から踏み台にしていく雑なスキャン業者ではありません。企業ネットワークへの侵入口だけを作って闇市場で売る「初期アクセスブローカー」と、それを買って身代金要求まで持っていくランサムウェアの実行部隊です。彼らは日本の大企業のIPアドレス帯を丹念に洗い、管理コンソールが外から見えているWASを探します。

認証をすり抜ける3件は、14件の中でも彼らにとって使い道がはっきりしています。具体的には、サーバーが受け取ると自動で中身を組み立て直してしまう「箱詰めされたJavaのデータ」を細工して投げ込み、ログイン画面を一度も通らずにサーバー上でコマンドを実行させるという使い方になります。認証情報を盗む工程も、フィッシングメールを送る工程も要りません。入口に細工した通信を1本流すだけで管理者と同じ立場に立てます。

業務データの持ち出しと暗号化、そして「復旧させたければ払え」という要求。WASを運用している企業がここから受けるのは、これまで国内で何度も見てきたのと同じ展開です。基幹システムなので代替手段がなく、止まった日数がそのまま売上の穴になります。そのシステムを使う一般の利用者側は、注文が通らない、残高が見えない、証明書が発行されないといった形で影響を受け、あとから「お客様情報が流出した可能性があります」という通知を受け取ることになります。だからこそ、以下の早見表で自分の環境が該当するかどうかを最初に確定させることが、この14件への一番効率の良い向き合い方になります。

WebSphereのデシリアライゼーション（保存形式のデータを元のオブジェクトに戻す処理）を突く攻撃は、脅威モデルの上の話ではありません。2015年の CVE-2015-7450 は同じ系統の欠陥で、米政府CISAが「実際に攻撃に使われた」と認定するKEVカタログに2022年1月10日付で登録されています。Apache MINAやAdobe ColdFusionでも同じ型の欠陥が繰り返し悪用されており、Javaの箱詰めデータを外から受け取る作りは、10年経っても同じところで折れ続けています。

まず確かめること。traditional と Liberty は別物です

影響範囲の読み違いは、たいていここから始まります。WebSphere Application Server という名前の製品には、実は系統の違う2つがあります。

• WAS traditional（8.5 / 9.0）：昔からの重量級。管理コンソール、デプロイメントマネージャー、SOAP/JMXコネクタといった部品を持ち、Fix Packは 9.0.5.28、8.5.5.29 のように4桁で表されます
• WAS Liberty：2012年以降の軽量版。使う機能を server.xml に「フィーチャー」として書いて有効化する作りで、バージョンは 26.0.0.7 のように「年.0.0.月次」の形をとります

自分がどちらかは、バージョン番号の形を見ればすぐ分かります。8.5.5.x / 9.0.5.x なら traditional、26.0.0.x なら Liberty です。そしてCVSS 9.8の2件は traditional 側だけなので、Liberty しか動いていない環境は、いきなり最悪の想定をする必要はありません。

Liberty 側は「その機能を有効にしているか」でさらに絞り込めます。IBMは各アドバイザリで条件を明示しており、有効化の確認手順も専用のドキュメントとして公開しています。ただし条件の重さには差があります。

• servlet-3.0〜servlet-6.1 のいずれか有効（CVE-2026-14981 / 15064 / 15325 / 15328 / 15057）：これは実質的に絞り込みになりません。Libertyでウェブアプリケーションを動かしているなら、servlet系のどれかは必ず有効になっています
• collectiveController-1.0 有効（CVE-2026-14976 / 15280）：複数サーバーを束ねて集中管理する構成でのみ使う機能です。単独構成なら対象外
• restConnector-1.0 または restConnector-2.0 有効（CVE-2026-16192）：JMXのREST管理や管理画面（Admin Center）を有効にしている環境が対象。管理系を閉じているなら対象外

つまりLiberty 8件のうち3件は「使っていなければ関係ない」機能限定です。ここを切り分けずに「Libertyに8件」と受け取ると、本来やらなくていい緊急メンテナンスを組むことになります。

製品バージョン別・該当CVEと修正Fix Packの早見表

IBMの8本のセキュリティ情報から、修正を含むFix Pack・暫定修正の管理番号（APAR）・提供見込み時期を突き合わせた表です。提供見込み時期はIBMの推奨アップデート一覧に記載された予定日で、いずれも「見込み（estimated future release date）」の扱いです。

最後の行は言葉を選ぶ必要があります。IBMは各アドバイザリの免責文で「影響を受ける製品・バージョンとして記載しているのはサポート期間内のものだけであり、記載がないことは影響を受けないという判断を意味しない」と明記しています。17.0.0.3より古いLibertyは、影響がないのではなく調べられていないと読むべきです。

なお、Liberty 側で26.0.0.8にすると5件（CVE-2026-14981 / 15064 / 15325 / 15328 / 15057）が消えますが、機能限定の3件（CVE-2026-14976 / 15280 / 16192）は26.0.0.8でもまだ該当します。Liberty のバージョン番号だけを見て「最新にしたから安全」と結論を出せないのがこの14件のややこしさです。

完全な修正版はまだ出ていない。今あるのは暫定パッチだけ

14件すべてのアドバイザリで、修正の案内は同じ構造をしています。「暫定修正（Interim Fix）を当てるか、Fix Packを待て」。そしてFix Packの提供時期は全件「2026年第3四半期をめど」で、確定日ではありません。

IBMの推奨アップデート一覧で現在の状況を照合すると、事情の重さが見えてきます。

• traditional 9.0系：現在の最新は2026年6月16日リリースの 9.0.5.28。修正版 9.0.5.29 は2026年9月8日が見込み日で、あと約6週間あります
• traditional 8.5系：現在の最新は2026年2月9日リリースの 8.5.5.29。次の 8.5.5.30 は2026年7月27日が見込み日として載っていますが、今回のアドバイザリは 8.5.5.30 までを影響範囲に含めており、修正が入るのは 8.5.5.31 です。8.5.5.31 は推奨アップデート一覧にまだ行が立っていません
• Liberty：現在の最新は2026年7月14日リリースの 26.0.0.7。26.0.0.8 は2026年8月11日が見込み。機能限定3件の修正が入る 26.0.0.9 は一覧に記載がありません

つまりCVSS 9.8の2件は、Fix Packを待つと1〜2か月そのまま残るということです。回避策の欄は全件「None」。IBMは各アドバイザリで「今すぐ（now）対処することを強く推奨する」と書いており、事実上「暫定修正を当てろ」以外の選択肢を提示していません。

運用側から見て面倒なのは、traditional 側の暫定修正が5本に分かれている点です。CVE-2026-14446 は DT496500、CVE-2026-14512 と CVE-2026-14528 は PH72166、CVE-2026-14974 と CVE-2026-14515 は DT496118、CVE-2026-16184 は DT496677、スマグリング・DoSの4件は PH72192 です。10件を潰すには5本を順に適用することになり、それぞれ「暫定修正が要求する最低Fix Packレベルまで上げてから当てる」という前提条件が付きます。1回の停止時間で終わる作業ではありません。

なお、5本のうちDT496500（CVE-2026-14446、CVSS 9.8）の暫定修正だけは、公開時点で個別の配布ページを確認できませんでした。アドバイザリ本文にもリンクが張られていません。他の4本には配布ページが用意されているため、最も危険度が高い1件の入手経路が現時点で不透明という状態です。この点はIBM Supportに直接確認するのが確実です。

補足として、DT496118 の配布ページのタイトルは「OIDC v1.5.5」となっており、CVE-2026-14974 と CVE-2026-14515 が OpenID Connect 関連コンポーネントの修正であることが読み取れます。ただしアドバイザリ本文には「OIDCを使っている場合のみ」という条件は書かれていないため、条件付きと決めつけないほうが安全です。

ログインなしで入られる3件（CVE-2026-14512ほか）

14件のうち、対応の順番を決めるうえで最初に見るべきなのがこの3件です。いずれも認証情報を持たない相手が使えます。

CVE-2026-14512: 認証前のデシリアライゼーション。認証回避または任意コード実行（CVSS 9.8）

今回の14件で最も重い1件です。IBMの説明は「WAS traditional は認証前（pre-authentication）の危険なデシリアライゼーションに対して脆弱であり、遠隔の攻撃者が認証を回避するか任意コードを実行できる可能性がある」というものです。分類は CWE-502（信頼できないデータのデシリアライゼーション）。CVSSベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H で、ネットワーク越し・攻撃条件は容易・権限不要・利用者の操作不要という、悪用条件としては最も緩い組み合わせです。

「デシリアライゼーション」は、Javaのプログラムが扱うデータを保存や通信のためにいったんバイト列へ箱詰めし、受け取った側でその箱を開けて元の形に戻す処理を指します。問題は、箱を開ける側が中身を検査せずに組み立ててしまうと、「開けた瞬間に指定した処理が走る」ように仕込んだ箱を投げ込めることです。認証前にこの処理が走るということは、ログイン画面を通す前の受付窓口ですでに攻撃が成立するという意味になります。

対象は 9.0.0.0〜9.0.5.28 と 8.5.0.0〜8.5.5.30。暫定修正は PH72166、修正Fix Packは 9.0.5.29 / 8.5.5.31 です。IBMの案内はセキュリティ情報 7281649にまとまっています。この1件だけでも、外向きに出ているWASがあるなら今週中に手を打つ理由になります。

なお、IBMのアドバイザリには「どのエンドポイントが認証前にデシリアライズを行うのか」という具体的な部品名が書かれていません。過去のWebSphereでは SOAP/JMXコネクタやSAML Web SSO、WS-Securityを有効にしたJAX-WSエンドポイントが同種の入口になってきましたが、今回どこが該当するかは公開情報から特定できません。「特定の機能を止めれば回避できる」と読み取れる材料はないため、暫定修正の適用以外の逃げ道を探すのは筋が悪いです。

CVE-2026-14446: 管理コンソールのアクセス制御不備（CVSS 9.8）

WAS traditional の管理コンソール（ブラウザから設定を変える管理画面）に、アクセス制御の破れがある欠陥です。IBMのアドバイザリ表題は「privilege escalation（権限昇格）」ですが、分類は CWE-306（重要機能に認証がない）、CVSSベクタは PR:N（権限不要）です。

ここは読み方を間違えないほうがいい箇所です。「権限昇格」と書かれていると「まず何らかのアカウントが必要」と受け取りがちですが、ベクタとCWEはアカウントを一切持たない相手が管理機能に到達できることを示しています。つまり表現は控えめでも、実態はより緩い条件です。管理コンソールをインターネットに露出させている環境は、ここが最初に踏まれる場所になります。

暫定修正はAPAR DT496500、修正Fix Packは 9.0.5.29 / 8.5.5.31。詳細はセキュリティ情報 7281631にあります。前述のとおり、この暫定修正の配布ページは公開時点で確認できていません。

CVE-2026-16184: 細工した未認証リクエストによる認証回避（CVSS 7.0）

「細工した未認証リクエストを送ることで、遠隔の攻撃者が認証を回避できる可能性がある」という欠陥です。分類は CWE-862（認可の欠落）。名前だけ見れば9.8の2件と同じくらい怖そうですが、CVSSは7.0にとどまっています。理由はベクタを見れば分かります。AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:H。攻撃条件が「高（AC:H）」で、影響の内訳は機密性・完全性が「低」、可用性だけが「高」です。

認証を回避できるのに情報漏れの評価が「低」というのは、一見ちぐはぐです。IBMもNVDも詳細を出していないため断定はできませんが、この配点は「認証をすり抜けて到達できる先が限られており、実際に起きるのは主にサービス停止」という理解と整合します。とはいえ、認証回避が成立する事実は変わりません。セキュリティ情報 7281628のとおり暫定修正はAPAR DT496677で、配布ページも用意されています。認証まわりの回避はID管理製品でも繰り返し起きている類型なので、後回しにする理由もありません。

データの復元と情報の抜き取り3件

CVE-2026-14974: 信頼できないデータの復元による遠隔からの任意コード実行（CVSS 8.1）

CVE-2026-14512と同じCWE-502ですが、こちらは認証前とは書かれていません。ベクタは AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H。権限は不要ですが、攻撃条件が「高」に上がったぶんスコアが8.1に落ちています。「攻撃条件が高い」は、攻撃者が事前に環境の情報を集める必要があったり、タイミングを合わせる必要があったりする状況を指す評価です。難しいだけで、不可能ではありません。

対象は traditional 8.5 / 9.0。暫定修正はAPAR DT496118で、CVE-2026-14515と同じ1本で両方が塞がります。セキュリティ情報 7281641を参照してください。同じ日に公表されたデシリアライゼーション系が2件ある点は、Javaのアプリケーションサーバー全般でこの型の欠陥が枯れていないことを示しています。

CVE-2026-14528: 遠隔から機微情報を取得（CVSS 7.4）

IBMの説明は「遠隔の攻撃者が機微情報を取得できる可能性がある」だけで、具体的な経路は書かれていません。ただし分類がCWE-532（ログファイルへの機微情報の書き込み）なので、本来ログに残してはいけない値がログに出ており、それが外から読めるという構図が推測できます。CVE-2026-14512と同じセキュリティ情報 7281649で扱われ、暫定修正も同じPH72166です。

この1件はスコアの内訳に妙なところがあります。ベクタが C:H/I:H/A:N、つまり「情報を取得できる」という説明なのに、完全性（データの書き換え）への影響も「高」と評価されています。情報漏れだけなら通常は C:H/I:N/A:N になり、その場合のスコアは5.9です。この配点が意図的なものか付け間違いなのかはIBMの説明からは判断できません。7.4という数字を額面どおり受け取る前に、社内の優先度判定では「情報漏れとして扱う」ほうが実態に近い可能性があります。

CVE-2026-14515: クロスサイトスクリプティング（CVSS 6.1）

14件で最も低いスコアです。クロスサイトスクリプティングは、ウェブページに攻撃者の用意したスクリプトを混ぜ込ませる欠陥で、ベクタの UI:R が示すとおり被害者が細工されたリンクを踏む操作が必要です。勝手にサーバーを乗っ取られる類のものではありません。

ただし S:C（スコープ変更あり）が付いており、影響がWAS自身の外まで及ぶと評価されています。WASの管理画面を扱う担当者が踏んだ場合、その担当者のセッションで管理操作が行われる展開はあり得ます。暫定修正はCVE-2026-14974と共通のDT496118なので、あちらを当てればこちらも塞がります。単独で緊急メンテナンスを組む必要はありません。

通信の割り込み（スマグリング）3件と、前段のプロキシで何が起きるか

14件のうち3件がHTTPスマグリング系で、いずれも分類は CWE-444（HTTPリクエストの解釈の不一致）です。3件が同時に出たのは偶然ではなく、セキュリティ情報 7281625でDoS 1件と併せてまとめて扱われています。暫定修正はLiberty側がPH72191、traditional側がPH72192の1本ずつです。

スマグリングという言葉は「密輸」の意味です。何が密輸されるかというと、HTTPのやり取りの区切りです。前段に立つ機器とWASが「1回のリクエストはどこで終わるか」の解釈をずらすと、前段が「1件」と数えた通信の中に、WASが「2件目」として拾う内容を紛れ込ませられます。

CVE-2026-15064: 非標準HTTPバージョントークンによるレスポンススマグリング（CVSS 8.7）

3件の中で最も重い1件です。HTTP/1.1 のような規格どおりの書き方ではないバージョン表記を送られたときの扱いが甘く、応答（レスポンス）側の境界をずらされるという内容です。ベクタは AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N。S:C が付いているのが重要で、これは影響がWAS自身の権限範囲を超えるという評価です。応答の割り込みは「Aさん向けの応答をBさんに届ける」という事故なので、被害者はWASではなく他の利用者になります。

CVE-2026-15325: TRACEリクエストの扱いによるリクエストスマグリング（CVSS 8.7）

TRACEは、送ったリクエストをそのまま返させる診断用のHTTPメソッドです。本番環境では通常無効にしておくものですが、今回の欠陥はその扱いに起因します。こちらも S:C 付きで8.7。IBMのアドバイザリ本文はこの1件について「IBM WebSphere Application Server」とだけ書いてLibertyに触れていませんが、同じアドバイザリの影響製品欄にはLiberty 17.0.0.3〜26.0.0.7が明記されていますし、NVDの説明文もLibertyを含めています。説明文だけを読んで「Libertyは対象外」と判断しないでください。

CVE-2026-15328: HTTPリクエストスマグリング（CVSS 7.4）

3件目は説明が最も短く、「HTTPリクエストスマグリングに対して脆弱」とだけ書かれています。ベクタは AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N。他の2件と違って S:U（スコープ変更なし）なので、影響がWASの中に収まると評価され、その差でスコアが7.4に下がっています。

この3件を一段掘る価値があるのは、WASがほぼ必ず何かの後ろに置かれているからです。traditional構成では前段にIBM HTTP ServerとWebSphere Web Server Plug-inが立ち、その前にさらにロードバランサーやリバースプロキシ、CDNが入るのが定番です。この構成でスマグリングが成立すると、被害はWAS1台で止まりません。

• 前段のキャッシュが汚染される：割り込ませた応答が「そのURLの正しい応答」としてキャッシュされると、以降そのURLを見た全員に攻撃者の用意した内容が配られます
• 前段の認証・アクセス制御をすり抜ける：前段で「/admin へのアクセスは社内IPのみ」と制御していても、通っていく1件のリクエストの中に2件目を隠せば、前段の判定を受けずにWASへ届きます
• 他の利用者のセッションに混ざる：接続を使い回す構成では、割り込んだリクエストの応答が別の利用者に返る事故が起きます

つまり「WASは内部にあるから大丈夫」という前提が、この3件では逆に働きます。前段で守っているつもりの制御を、後ろのWASの解釈のずれが無効化する構図だからです。前段のプラグイン側にも2026年6月にリクエストスマグリングの欠陥（CVE-2026-8620）が出ていて、前段と後段の両方で同じ型の欠陥が続いている状態です。HTTPの解釈のずれを突く攻撃はApache HTTP Serverでも定番の系統で、WebSphere固有の話ではありません。

サービス停止につながる2件

CVE-2026-14981: HTTPチャネルの無制限アロケーションによるサービス停止（CVSS 7.5）

HTTP処理部（HTTPチャネル）が、上限を設けずに資源を確保してしまう欠陥です。分類はCWE-400（制御されない資源消費）、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H。権限不要・攻撃条件は容易で、影響は可用性のみ。情報が漏れたり書き換えられたりはしませんが、外から誰でもサーバーを落とせるという意味になります。traditional と Liberty の両方が対象で、暫定修正はスマグリング3件と共通です。

基幹システムの場合、情報漏れよりサービス停止のほうが即座に業務被害として表面化します。CVSSが7.5だからといって順番を落とすと、実際の痛みの順番と合わなくなる種類の欠陥です。

CVE-2026-15057: ヒープの無制御アロケーションによるサービス停止（CVSS 7.5）

Liberty 17.0.0.3〜26.0.0.7 が対象で、servlet-3.1 / 4.0 / 5.0 / 6.0 / 6.1 のいずれかが有効なとき成立します。前述のとおり、Libertyでウェブアプリケーションを動かしていれば実質的に全環境が該当します。暫定修正はAPAR PH72167で、配布はWeb Container 累積セキュリティ暫定修正としてまとめられています。

この1件には注記が2つ必要です。ひとつは、アドバイザリ 7280126の初版公開が2026年7月21日で、7月28日の一括公表より1週間早いことです（7月22日に影響フィーチャーの記載が追記されています）。NVDへの登録が他の13件と同じ日になったため一括公表に見えますが、IBM側では先に出ていました。

もうひとつは分類のずれです。IBMはCWE-787（境界外書き込み）を付けていますが、説明文は「制御されないヒープ確保によるサービス停止」で、影響も可用性のみ（C:N/I:N/A:H）です。メモリの境界外に書き込む欠陥なら通常は完全性への影響が付きます。確保サイズの過大指定を指すCWE-789（過大なサイズ値でのメモリ確保）のほうが説明と整合しますが、IBMの記載はCWE-787です。分類だけを機械的に取り込んで「メモリ破壊だからRCEに化けるかもしれない」と評価を上げるのは、公開情報の範囲では根拠が薄いと考えます。

機能を有効にしていなければ対象外の3件

残る3件はLiberty専用で、しかも特定のフィーチャーを有効にしている環境だけが対象です。件数だけ見て慌てる必要はありません。該当条件はこれだけです。

CVE-2026-14976: collectiveController-1.0 有効時の任意コード実行（CVSS 7.1）

「任意コード実行」という言葉が入っているぶん反射的に身構えますが、ベクタを読むと成立条件はかなり狭いことが分かります。AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H。AV:A は隣接ネットワーク、つまりインターネット越しではなく同じネットワークセグメントにいる必要があるという意味です。加えて AC:H（攻撃条件が高い）と UI:R（誰かの操作が必要）が付いています。

条件は3段構えです。(1) Liberty 17.0.0.3〜26.0.0.8 を使っている、(2) collectiveController-1.0 フィーチャーを有効にしている、(3) 攻撃者が同一ネットワークにいる。この3つがそろわなければ成立しません。collectiveController-1.0 は複数のLibertyサーバーを束ねて集中管理するときに使う機能なので、単独サーバー構成ならそもそも対象外です。server.xml を確認するだけで判定できます。

暫定修正はAPAR DT496531で、配布ページが用意されています。修正Fix Packは 26.0.0.9 で、詳細はセキュリティ情報 7281633にあります。

CVE-2026-15280: collective routing のパスセグメント注入（CVSS 7.5）

CVE-2026-14976と同じアドバイザリ・同じ暫定修正で扱われる1件です。Liberty の ND Collective Controller（Network Deployment構成で集中管理を担う役割）が持つ経路振り分けの仕組みに、URLのパスの一部を差し込める欠陥があります。分類はCWE-22（パストラバーサル）で、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N。影響は機密性のみ、つまり読み取りだけです。

14976と違ってこちらは AV:N（ネットワーク越し）で AC:L（攻撃条件が容易）なので、Collective Controllerが外から触れる位置にある場合は7.5という数字を素直に受け取るべきです。逆に、Collective構成を組んでいない環境には関係ありません。

CVE-2026-16192: restConnector 有効時のサービス停止（CVSS 7.1）

分類はCWE-674（制御されない再帰）で、処理が自分を呼び続けて止まらなくなり、サーバーが応答できなくなる型です。ベクタは AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:H。14件のうちこの1件だけが PR:L、つまり何らかのアカウントを持っていることを前提にしています。完全な外部者だけでは成立しません。

条件の記載には食い違いがあります。CVE説明文とNVDの記載は「restConnector-2.0 フィーチャーが有効なとき」ですが、アドバイザリ 7281648の概要と修正手順は「restConnector-1.0 または restConnector-2.0」と書いています。広い側（1.0も含む）で判定するのが安全です。restConnector はJMXのREST管理や管理画面（Admin Center）を使うときに有効化する機能なので、Libertyの管理系を外部に閉じている環境なら対象外です。暫定修正はAPAR DT496294で、配布ページがあります。

公表された数値には食い違いもある

14件を一次情報で突き合わせると、IBMのアドバイザリとNVDの登録内容の間に無視できないずれが見つかりました。優先度を機械的に決める前に把握しておく価値があります。

CVSSスコアの計算はベクタから一意に決まる仕組みなので、CVE-2026-15064の「8.9」は表記側の誤りである可能性が高いです。ただし、8.9でも8.7でも重大度の区分は同じ「High」なので、対応方針は変わりません。配布元とデータベースでスコア評価が食い違う例は他の製品でも起きており、スコアだけで社内の優先度を自動決定している組織は、この種のずれをそのまま取り込むことになります。

JVNにも報道にも、まだ出ていない

2026年7月29日昼の時点で、日本国内の窓口には14件のいずれも登録されていません。

• JVN iPedia（JVNDB）：MyJVN APIで「WebSphere」を検索しても、14件に対応する登録は返りません
• JPCERT/CC：注意喚起・Weekly Reportでの言及なし
• IPA：重要なセキュリティ情報としての掲載なし
• 日本語の報道：14件を扱った記事は見つかりません。国内でWebSphereの脆弱性を継続的に報じているSecurity NEXTの直近記事は6月2日付で、6月1日公表の4件（CVE-2026-8644ほか）を扱ったものです

JVN iPediaはCVE公表から数日〜数週間遅れて日本語の解説を載せる運用なので、来週以降に登録される可能性はあります。ただし今の時点で日本語の一次的な整理はほぼ存在せず、国内の運用担当者はIBMの英語アドバイザリを直接読むしかない状態です。JVN登録を待ってから動くと、CVSS 9.8の2件を1〜2週間放置することになります。

GitHubのセキュリティアドバイザリデータベースには登録が進んでおり、たとえばCVE-2026-14512は GHSA-p6cg-6q97-cwjw として掲載されています。依存関係の自動チェックを回している組織はこちら側で拾える可能性があります。

攻撃されている証拠は今のところない

悪用状況について、確認できた事実は3つです。

• CISA KEVカタログ（2026年7月27日版、1655件）に14件のいずれも未登録。米政府が「実際に攻撃されている」と認定した記録はまだありません（CISA公式カタログ / 日本語で全件検索できるダッシュボード）
• 悪用確率の推計値（EPSS）はまだ算出されていません。FIRSTのAPIに14件を問い合わせても該当データが0件で返ります。公表翌日なので当然の状態です
• 実証コード（PoC）の公開も確認できません。IBMのアドバイザリには発見者への謝辞（Acknowledgement）欄がありますが、14件すべて空欄で、外部研究者の公表を追う手がかりもありません

ただし、これは「安心していい」という結論にはなりません。前述のとおりWebSphereのデシリアライゼーション型は過去に実際に悪用されてKEV入りしています。認証不要でコード実行に至る欠陥は、公表から実証コード公開までが短い傾向があり、Oracle EBSやSharePointでは公表から悪用確認までが週単位でした。CVSS 9.8の2件については、KEV登録を待たずに1〜2週間以内の適用を前提に段取りするのが妥当な読みだと考えます。

同じ7月28日にIBM Asperaの4件も公表されている

WebSphereの14件と同じ7月28日、IBMは高速ファイル転送製品のIBM Asperaについても4件（CVE-2026-14973 / 14958 / 14959 / 14996）を公表しました。放送局や大企業のファイル転送基盤として使われている製品で、過去にもバッファオーバーフローの欠陥が出ています。詳細はそちらの記事で扱うため、ここでは深追いしません。両方を運用している組織は、あわせて確認してください。

IBM製品全体でみると、2026年に入ってからWebSphere系・Db2・Aspera・Engineering Lifecycle Managementと、企業の基幹に近い製品で重大な欠陥が続いています。1件ごとに対応を判断するのではなく、IBM製品の棚卸しと適用手順のひな型を作っておくほうが結果的に速くなります。

暫定パッチを当てるまでの段取り

最初にやるのは、パッチの手配ではなく棚卸しです。社内にあるWASのバージョン番号を全台ぶん書き出してください。8.5.5.x / 9.0.5.x なら traditional、2x.0.0.x なら Liberty です。そのうえで、管理コンソールがインターネットから見える台がないかを確認します。CVSS 9.8の2件はどちらも traditional で、うち1件は管理コンソールそのものが入口です。外向きに管理画面が出ている台があれば、それが最優先の1台です。

traditional の台については、5本の暫定修正のうちどれを当てるかを決めます。全部当てるのが正解ですが、停止時間を分割せざるを得ないなら、PH72166（CVE-2026-14512と14528）とDT496500（CVE-2026-14446）を先に置くのが筋です。それぞれ「暫定修正が要求する最低Fix Packレベルまで先に上げる」という前提があるので、現在のFix Packレベルと要求レベルの差を先に確認しておくと当日の事故が減ります。DT496500は配布ページが確認できていないため、IBM Supportへの問い合わせを並行して進めることになります。

Liberty の台については、server.xml のフィーチャー定義を見て collectiveController-1.0 と restConnector-1.0/2.0 の有無を確認します。どちらも使っていなければ、該当は5件に減り、しかもその5件は8月11日見込みの26.0.0.8で解消されます。急いで暫定修正を入れる代わりに、通常のFix Pack適用サイクルに乗せる判断が成り立ちます。使っている場合は26.0.0.9待ちになるので、DT496531とDT496294の暫定修正を検討してください。

前段の構成も併せて見直す価値があります。スマグリング3件は前段のプロキシやキャッシュと組み合わさって初めて実害になる型です。前段でTRACEメソッドを落としているか、規格外のHTTPバージョン表記を弾いているか、共有キャッシュに認証が必要なページを載せていないか。WAS側の修正を待つ間の実質的な緩和策は、この前段側にあります（IBMは公式には回避策を「None」としているので、これは筆者の判断による補足です）。

最後に、IBMの推奨アップデート一覧をブックマークして、9.0.5.29・8.5.5.31・26.0.0.8・26.0.0.9 の4つの行の状態を週次で見ておくことをおすすめします。今は全部「見込み日」の扱いで、実際に出た日付が入るまで確定しません。

IBMが書いたことと、書いていないこと

参照元

• ▸IBM Security Bulletin 7281649 - unsafe deserialization and exposure of sensitive information（CVE-2026-14512, CVE-2026-14528）（2026年7月28日）
• ▸IBM Security Bulletin 7281631 - privilege escalation（CVE-2026-14446）（2026年7月28日）
• ▸IBM Security Bulletin 7281625 - multiple vulnerabilities（CVE-2026-14981, 15064, 15325, 15328）（2026年7月28日）
• ▸IBM Security Bulletin 7281641 - cross-site scripting and deserialization（CVE-2026-14974, CVE-2026-14515）（2026年7月28日）
• ▸IBM Security Bulletin 7281633 - remote code execution and path-segment injection（CVE-2026-14976, CVE-2026-15280）（2026年7月28日）
• ▸IBM Security Bulletin 7281628 - authentication bypass（CVE-2026-16184）（2026年7月28日）
• ▸IBM Security Bulletin 7281648 - denial of service（CVE-2026-16192）（2026年7月28日）
• ▸IBM Security Bulletin 7280126 - Liberty denial of service（CVE-2026-15057）（2026年7月21日初版、7月22日更新）
• ▸IBM - Recommended Updates for WebSphere Application Server
• ▸IBM - WebSphere Application Server support（サポート終了予定日に関する表明）
• ▸IBM - How to determine if Liberty is using a specific feature
• ▸NVD - CVE-2026-14512（CVSS 9.8 / CWE-502）
• ▸NVD - CVE-2026-14446（CVSS 9.8 / CWE-306）
• ▸CVE.org - CVE-2026-14512
• ▸GitHub Advisory Database - GHSA-p6cg-6q97-cwjw（CVE-2026-14512）
• ▸CISA - Known Exploited Vulnerabilities Catalog（2026年7月27日版、1655件）
• ▸FIRST - EPSS（悪用確率スコア）
• ▸Security NEXT - 「WebSphere App Server」に複数の深刻な脆弱性（2026年6月2日、6月公表分について）