Apache MINA 3.0.0 から 3.0.0-M2 の codec、受信データをそのままデシリアライズして任意のコード実行のおそれ（CVE-2026-118636）: 3.0 系の修正版は出ない

Apache MINA の 3.0 系（3.0.0 から 3.0.0-M2）の codec モジュールにある JavaNativeMessageDecoder が、受け取ったフレームのバイト列に ObjectInputStream.readObject() をクラスの絞り込みなしで呼ぶ問題（CVE-2026-118636、CWE-502）が、10/31 に NVD へ公開されました。信頼できない相手の前にこのデコーダーを置いたアプリケーションは、ガジェットチェーンによる任意のコード実行を受けるおそれがあります。CVSS v3.1 は 9.8（Critical）です。3.0 系の枝は活動を止めており、修正版は出さない方針で、2.2.x 系の最新版の利用が勧められています。

何が起きるか

• Apache の勧告（oss-security への 10/31 の投稿、NVD の説明も同文）によると、JavaNativeMessageDecoder はフレームのバイト列を ObjectInputStream.readObject() に渡します。クラスの絞り込み（フィルター）がないため、細工したオブジェクトを送ると、クラスパス上のガジェットチェーンを通じてコードを実行されるおそれがあります。
• 条件は「このデコーダーを、信頼できない相手と通信する経路の前段に置いていること」です。NVD の評価では、ネットワーク経由・複雑さは低い・権限と利用者の操作は不要（AV:N/AC:L/PR:N/UI:N）とされています。
• 当サイトでは、悪用や再現は行っていません。実際の悪用の報告は確認できていません。CISA の KEV には載っていません（2026.10.30 版・1766 件で確認）。

影響を受ける条件

項目	内容
対象	Apache MINA 3.0.0 から 3.0.0-M2（Apache の勧告）。Maven 上のパッケージは org.apache.mina:mina-core
前提	3.0 系の codec の JavaNativeMessageDecoder を、信頼できない相手と通信する経路で使っていること
評価	CVSS v3.1 は 9.8（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。値は Apache（CNA）が付けたもので、NVD の種別は Secondary。NVD の状態は「Received」（10/31 時点）で、NVD 自身の評価は未実施
弱点の分類	CWE-502（信頼できないデータのデシリアライズ）
EPSS	公開直後のため未算出（FIRST の API に該当データなし、11/1 時点）
修正	3.0 系の修正版は出ない予定。2.2.x 系の最新版の利用が勧められている

修正の状況

• 勧告には「3.0.0 の枝は活動していないため、この問題を直す版は出す予定がない」とあります。NVD の記載にも unsupported-when-assigned（割り当て時点でサポート終了）のタグが付いています。
• 3.0 系の最後の公開版は 3.0.0-M2 です（Maven Central 上、公開は 2013 年）。2.2.x 系は新しいほうが 2.2.10 です（Maven のメタデータの更新日は 10/17）。

対応として考えられること（本記事の推定）

1. 自分のアプリケーションが mina-core の 3.0 系を使っているか、依存関係（mvn dependency:tree や SBOM）で確認します。2.2.x 系を使っているだけなら、勧告の対象外です。
2. 3.0 系を使っている場合は、勧告に従い 2.2.x 系の最新版への移行を検討します。移行の工数がかかるため、それまでは JavaNativeMessageDecoder が信頼できない相手の入力を受けない構成にします（ネットワークの到達範囲を絞る、認証済みの相手に限る）。
3. 回避策として、フィルターを付けた独自のデコーダー（JEP 290 の ObjectInputFilter など）に置き換える方法が考えられますが、効果は当サイトでは検証していません。

未確認の点

• 悪用の報告は確認できていません。KEV にも載っていません。
• CVSS は Apache（CNA）の値で、NVD の評価は未実施です（状態は Received）。
• 当サイトでは、デシリアライズによる実行を再現していません。ソースコードの確認も行っておらず、記載は Apache の勧告と NVD の説明に基づきます。
• 勧告の対象は「3.0.0 から 3.0.0-M2」です。公開されているマイルストーン版にこのデコーダーが含まれるかは、当サイトでは確認していません。
• 回避策の効果は検証していません。
• 日付は、NVD の公開（2026-10-31 21:16 UTC）と Apache の勧告の投稿（2026-10-31）に基づきます。