Java製ネットワークアプリケーション基盤Apache MINA 3.0のデシリアライズ処理に、CRITICAL（CVSS 9.8）の脆弱性「CVE-2026-118636」が公表された。非信頼の通信データを対象のデコーダーへ渡す構成では任意コード実行につながる恐れがある。Apacheは3.0系の修正版を提供しない方針を示し、最新の2.2.x系への移行を推奨している。
30秒でわかる / THE SIGNAL
Java製ネットワークアプリケーション基盤Apache MINA 3.0のデシリアライズ処理に、CRITICAL（CVSS 9.8）の脆弱性「CVE-2026-118636」が公表された。非信頼の通信データを対象のデコーダーへ渡す構成では任意コード実行につながる恐れがある。Apacheは3.0系の修正版を提供しない方針を示し、最新の2.2.x系への移行を推奨している。
通信データのデシリアライズがコード実行の入口に
Apache Software Foundationの担当者が2026年10月31日に公表した告知によると、Apache MINA 3.0 codecモジュールの「JavaNativeMessageDecoder」は、受信したフレームのバイト列をJavaのObjectInputStream.readObject()へ渡す際、許可クラスを制限するフィルターを設けていない。非信頼の通信相手からその処理に入力が届くアプリケーションでは、危険なオブジェクトの復元を通じ、いわゆるガジェットチェーンを利用したリモートコード実行（RCE）の恐れがある。
これはApache MINAを採用するすべてのシステムが一律に侵害されるという意味ではない。対象のデコーダーが実際に組み込まれ、外部から制御可能な入力を処理するかが重要な確認点となる。
公式深刻度はCRITICAL 9.8、影響版の表記には留保
Apacheの公式告知は本件をCRITICAL、CVSS v3.1で9.8と評価した。識別子はCVE-2026-118636。影響版について原文は「Apache MINA 3.0.0 through 3.0.0-M2」と記すが、通常の版順との関係が読み取りにくい。したがって、この表現を編集部が独自に並べ替えて断定せず、3.0系の依存ライブラリと該当クラスの実装状況を個別に調査する必要がある。
GitHub Advisory Databaseにも同じCVEがCRITICALとして登録されているが、同データベースの表示はUnreviewedであり、製品の影響版・修正版欄はUnknownとなっている。重大度と対応方針の根拠にはApacheの告知を用いる。
0系には修正版を出さず、最新2.2.x系への移行を推奨
今回の注意点は、修正パッチの適用だけでは解決できない可能性があることだ。Apacheは3.0.0ブランチが活動停止状態であり、本件を修正する3.0系のバージョンをリリースする予定はないと説明した。そのうえで、利用者には最新のApache MINA 2.2.x系を使うよう勧めている。
運用担当者は、まず依存関係と実際の使用コードを点検し、対象構成なら2.2.x系への移行・互換性テスト・再デプロイを検討したい。直ちに移行できない場合に非信頼の接続元を制限することはリスク低減の一案だが、開発元が正式に保証した回避策ではなく、移行の代替とはならない。
実悪用は未確認、露出状況を踏まえて優先順位を判断
今回確認したApacheの告知には、実環境での悪用確認、被害組織、侵害指標の記載はない。公開されたCVSS 9.8は技術的な重大度であり、すべての導入先で同じ確率で攻撃が成立することを意味しない。影響するコードの利用有無、外部からの到達性、依存ライブラリの実際のバージョンを優先して調べ、必要な対応を決めることが重要だ。