Netty tcnativeのTLS処理にCVE-2026-116539、CVE-2026-116540、CVE-2026-116541が公表。ネイティブTLSのメモリ破損や接続障害のリスクと2.0.84.Finalへの更新を整理。
30秒でわかる / THE SIGNAL
JavaのTLS通信基盤Netty tcnativeにメモリ破損・接続障害など3件の脆弱性が公表された。影響はTLS実装やバージョンに依存する。修正版2.0.84.Finalへの更新とネイティブライブラリの確認が重要だ。
何が公表されたか
2026年10月26日にNetty tcnativeのTLS処理に関するCVE-2026-116539、CVE-2026-116540、CVE-2026-116541の3件が公表された。CVE登録情報のCVSS v4.0評価は各8.2だが、CVE-2026-116540はGitHub Security AdvisoryでModerateの評価もあり、スコアと運用上の影響条件を分けて読む必要がある。一次情報：https://github.com/netty/netty-tcnative/security/advisories/GHSA-gf9q-9mg7-g5qh
3件の影響と攻撃条件
CVE-2026-116539はTLS処理時のヒープバッファオーバーフローによるJVM異常終了の恐れ。CVE-2026-116540はOpenSSL 3.x利用時のTLSセッションチケット鍵更新処理におけるUse-After-Free。CVE-2026-116541はTLS書き込み済みバイト数の報告不備によるハンドシェイク破損、接続障害などの恐れがある。すべてのNettyアプリケーションで一律に攻撃が成立するとは限らない。 CVE-2026-116540：https://github.com/netty/netty-tcnative/security/advisories/GHSA-mmc8-vg2v-fvvw CVE-2026-116541：https://github.com/netty/netty-tcnative/security/advisories/GHSA-9xr3-jwv4-r489
影響バージョンと修正版
CVE-2026-116539とCVE-2026-116541は、対象となるnetty-tcnativeおよびnetty-tcnative-boringssl-staticの2.0.84.Final未満のバージョンに影響する。CVE-2026-116540はOpenSSL 3.xを利用する構成が条件で、CVE登録情報では2.0.66.Final以上2.0.84.Final未満とされる一方、開発元GHSAの影響開始バージョン表記に差異があるため、対象環境では双方を照合する。修正版2.0.84.Finalの公開は2026年9月7日付であり、脆弱性の新規公表日と混同しない。 修正版：https://github.com/netty/netty-tcnative/releases/tag/netty-tcnative-parent-2.0.84.Final
管理者が確認すべき対応
依存関係と稼働環境を調査し、netty-tcnative系ライブラリを2.0.84.Final以降へ更新する。Java依存関係の解決結果に加え、コンテナイメージや実行環境で読み込まれるネイティブTLSライブラリのバージョンとOpenSSLの構成を確認する。更新後はTLS接続試験と監視ログの確認を実施したい。影響の有無をライブラリ名だけで判断せず、使用中のTLSプロバイダーも確認する。
悪用状況とWORK SIGNALの視点
2026年10月27日時点で参照した開発元GHSAとCVE情報から、実環境での悪用が確認されたとは断定できない。KEV未登録は悪用が存在しない証明ではない。TLSのネイティブ処理はアプリケーション層の対策だけでは守れないため、修正版を実際の本番環境まで反映できているかが重要となる。