Apache ZooKeeper 3.9.6 以下 CVE-2026-100300・115448: 認証なしの操作でサーバーが停止し、再起動しても復帰しない（CVSS v4 8.7）

Apache ZooKeeper の 3.8.7 以下と 3.9.6 以下に、ログインなしの利用者がサーバーを止められ、しかも再起動しても元に戻らなくなる欠陥が 2 件登録されました（CVE-2026-100300・CVE-2026-115448）。NVD への登録は 2026-11-04（状態は Awaiting Analysis）で、評価は Apache Software Foundation が付けた CVSS v4.0 8.7 です。NVD 自身の最終評価はまだありません。

何が起きるか

• CVE-2026-100300（クォータ機能の例外処理）: 既定の設定では /zookeeper/quota 以下に誰でも書き込めます。ここに細工した内容を書くと、リクエストを処理する重要なスレッドが異常終了し、ディスク上のデータディレクトリが起動できない状態になります（CWE-755）。
• CVE-2026-115448（スナップショットの再帰が無制限）: サーバーはデータツリーをスナップショットに書き出すとき、znode の階層ごとにスタックを 1 段ずつ使います。深さの上限がないため、znode を深く入れ子に作るとスタックが尽き、スナップショットのスレッドが落ちます。再起動時もトランザクションログから同じ深いツリーを作り直して失敗するので、復帰できません。回復にはデータ損失を伴うことがあり、同じログを持つリーダーとフォロワーに広がるおそれもあります（CWE-770）。
• どちらも、サイズは jute.maxbuffer の範囲内に収まるため、既存の上限では防げないと説明されています。

数値と severity

• CVSS v4.0: どちらも 8.7（HIGH、AV:N/AC:L/AT:N/PR:N/UI:N、可用性のみ高）。
• 認証は不要（既定設定の場合）ですが、影響は可用性のみで、評価は 9 未満です。基準どおり severity は high とします。
• CISA の KEV には載っていません（確認時点の公開カタログ）。EPSS は登録直後のため未付与でした（FIRST の API で確認）。

修正の状況

• 影響を受ける版: CVE-2026-100300 は 3.9.6 以下、CVE-2026-115448 は 3.8.0〜3.8.7 と 3.9.0〜3.9.6。
• 修正版は 3.8.8 と 3.9.7 です。
• CVE-2026-115448 の回避策として、既定の開いたルート ACL に頼らず、ACL と認証で znode の作成を制限するよう書かれています。CVE-2026-100300 の回避策は今回確認できていません。

同時に公表された関連の CVE

同じ 11/3〜11/4 に、ZooKeeper の別の欠陥も登録されています（CVE-2026-100235：setACL の競合による認可の誤り 6.0、CVE-2026-100252：SASL 認証で要求した主体をそのまま許可 8.6・要ログイン、CVE-2026-100302：multiRead 要求での停止 7.1・要ログイン）。この記事では、認証なしで影響が大きい 2 件を扱い、ほかは別途確認が必要です。

対策として考えられること

1. ZooKeeper を使っている場合は、3.8.8 または 3.9.7 へ更新します。Kafka や Hadoop 系の基盤の裏で動いていることもあるため、利用の有無を資産台帳で確かめます。
2. 更新できるまでは、クライアントポートへ届く範囲を信頼できるネットワークに限り、ACL と認証で /zookeeper/quota と znode の作成を制限します（CVE-2026-100300 への有効性は未確認で、推定です）。
3. データディレクトリとトランザクションログのバックアップを取っておきます。

未確認の点

• 実際の悪用の有無、公開された概念実証（PoC）の有無。
• CVE-2026-100300 の回避策、影響を受ける旧系列（3.8 未満）の扱い。
• 実際の利用規模と、公開されている ZooKeeper の台数。
• NVD の最終評価（現在は Apache 側の評価のみ）。