検索NeSC を見る
脆弱性・CVE速報深刻度: 高

IBM MQ（9.2〜10.0）の 9 件（CVE-2026-10859・11376・11724・12356・13271・13284・13289・13292・18142）: ログイン後のコード実行・XXE・整数オーバーフロー。修正版あり（最大 CVSS 8.8）

World Security 編集部
AI 支援あり
目次（5）

CVE-2026-10859

CVE-2026-11376

CVE-2026-11724

CVE-2026-12356

CVE-2026-13271

CVE-2026-13284

CVE-2026-13289

CVE-2026-13292

CVE-2026-18142

IBM は 2026-10-29、IBM MQ（メッセージキューのミドルウェア）の脆弱性 9 件について、それぞれセキュリティ情報を出しました。NVD への登録は 2026-11-04 で、状態は 9 件とも「Undergoing Analysis」（NVD が分析中）です。CVSS は IBM 自身が付けた値（CVSS Source: IBM）です。

影響を受ける版

  • 9.2.0.0〜9.2.0.44 LTS、9.3.0.0〜9.3.0.42 LTS、9.4.0.0〜9.4.0.26 LTS、9.4.0.0〜9.4.5.1 CD、10.0.0.0〜10.0.0.5 LTS および CD。
  • 部品ごとに該当が分かれます。CVE-2026-10859 は .NET messaging（XMS .NET クライアント）、CVE-2026-11376 と CVE-2026-18142 はサーバー、残り 6 件は Managed File Transfer（MFT）です。

9 件の中身

CVE対象部品内容CVSS v3.1CWE
CVE-2026-10859XMS .NET クライアントObjectMessage の安全でない復元（デシリアライズ）で、受信側アプリ上で任意コード実行7.5（AC:H）不明（CWE 未記載）
CVE-2026-11376サーバー購読要求の細工したバッファサイズで整数オーバーフロー。サービス停止、場合によりコード実行8.8CWE-190
CVE-2026-11724Managed File Transfer（MFT）スクリプト実行時のメタデータの検証不備で、MFT エージェントのホスト上で任意コード実行（影響範囲が変わる S:C）8.5（AC:H）CWE-20
CVE-2026-12356MFTコマンドキューにアクセスできるユーザーが Ant スクリプトのコマンドに悪意ある引数を差し込み、任意コード実行7.5（AC:H）CWE-74
CVE-2026-13271MFTコマンドキュー処理の XML 外部エンティティ（XXE）で、情報の取得またはサービス停止8.1CWE-611
CVE-2026-13284MFTXML 処理の XXE で、情報の露出またはメモリ消費7.1CWE-611
CVE-2026-13289MFTXML 処理の XXE で、情報の露出またはメモリ消費（13284 とは別の欠陥）7.1CWE-611
CVE-2026-13292MFT転送要求のメタデータ経由で悪意ある環境変数を注入され、任意コード実行8.8CWE-15
CVE-2026-18142サーバー（z/OS）細工した MQINQ 要求の整数オーバーフローで、サービス停止と限定的なメモリ破壊7.1（C:N/I:L/A:H）CWE-190

severity と読み方

  • 9 件とも、攻撃にはログイン済みの権限（PR:L）が要ります。最大の CVSS は 8.8（CVE-2026-11376・13292）ですが、認証不要ではないため critical にはせず、severity は high とします。
  • コード実行系（10859・11376・11724・12356・13292）は、MQ の利用者アカウントやコマンドキューへのアクセス権を持つ者が、MQ を動かすホストや受信側アプリで任意のコードを動かせる可能性がある点が重いところです。
  • XXE 系（13271・13284・13289）は主に情報の漏えいとメモリ消費、整数オーバーフロー系（11376・18142）は停止が中心です。
  • CVE-2026-13284 と CVE-2026-13289 は、記述も CVSS も同じですが、IBM は別々の情報として出しています。

修正と対策

  • 9 件とも IBM の修正は同じ版です（確認した 9 ページとも同じ記載）。9.2 LTS は累積セキュリティ更新 9.2.0.46、9.3 LTS は 9.3.0.43、9.4 LTS はフィックスパック 9.4.0.30、10.0 LTS は 10.0.0.6 へ更新、9.4 CD と 10.0 CD は 10.0.1.0 へ更新。
  • 回避策（Workarounds and Mitigations）は「なし」です。
  • 対策としては、使っている版を確認して上の版へ更新するのが基本です。更新までの間は、MQ へ接続できるアカウントと、MFT のコマンドキューへの書き込み権限を必要最小限に絞ることが考えられます（推定。IBM の記載ではありません）。

未確認の点

  • NVD の最終評価（9 件とも分析中）。CVE-2026-10859 は CWE が未記載です。
  • 悪用の有無、概念実証コードの有無。CISA の KEV には 9 件とも載っていません（2026-11-05 時点で確認）。EPSS は FIRST に値がなく、未算出です。
  • 各欠陥の技術的な詳細（呼び出し条件、必要な権限の具体的な範囲）。IBM の情報には書かれていません。
  • 9 件を連続して使った攻撃が成立するかどうか。
  • 影響を受ける組織の数。

この記事について

AI の利用
本記事は AI が NVD・IBM などの公開情報をもとに作成しました。数値は取得時点（2026-11-05）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事