Apache MINA「CVE-2026-118636」——RCE脆弱性、3.0.0系は修正なし

CVE-2026-118636とは何か：Apache MINAに潜むCVSS 9.8の脆弱性

2026年10月31日、Apache Software Foundationは、ネットワークアプリケーション開発フレームワーク「Apache MINA」にリモートコード実行（RCE）脆弱性が存在することを公式に開示した（出典：CVE公式記録 cve.org）。

CVE番号はCVE-2026-118636。CVSS 3.1スコアは9.8（CRITICAL）であり、評価ベクトルはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hである。攻撃はネットワーク経由・低複雑度・認証不要・ユーザー操作不要という条件下で成立し、機密性・完全性・可用性のすべてへの影響が「高」と評価されている。このスコアは、Apache Software Foundationが採番元CNA（Certificate Numbering Authority）として付与したものである。

弱点の分類はCWE-502「信頼できないデータのデシリアライズ（Unsafe Deserialization）」。Apache MINAの3.0系codecモジュールに含まれるJavaNativeMessageDecoderが、受信したフレームバイトに対してクラスフィルタを設けずにObjectInputStream.readObject()を呼び出す実装になっている。信頼できない通信相手との経路上にこのコンポーネントが置かれたとき、攻撃者はgadget-chainを介してサーバー上で任意コードを実行できる状態となる。

本脆弱性はCISA KEV（既知の悪用脆弱性カタログ）への掲載は確認されていない。EPSS（悪用される統計的確率の推定）は2026年11月1日時点で約0.58%（パーセンタイル約0.47）と低水準だが、EPSSはあくまで統計的推定であり、特定環境での悪用リスクを保証するものではない（出典：CVE公式記録）。

関連記事MCP ToolboxのCVE-2026-93328は？ ／ Zammadの脆弱性CVE-2026-102489は？

Apache MINA 3.0.0系に修正版が出ない理由と技術的背景

CVE公式記録には「UNSUPPORTED WHEN ASSIGNED」と明記されており、3.0.0ブランチは非アクティブであるため、ベンダーはこの問題を修正するバージョンをリリースする予定はないとされている（出典：CVE公式記録）。

問題の核心はObjectInputStream.readObject()の無防備な呼び出しにある。Javaのデシリアライズ機構はクラスフィルタ（ObjectInputFilter）によって受け入れるクラスを制限できるが、JavaNativeMessageDecoderはこれを実装していない。攻撃者はJava標準ライブラリや広く使われるOSSに含まれる「gadget」クラスの連鎖を利用して任意のコードを実行させる。

公式の回避策（workaround）はCVE記録に示されていない。

影響バージョンと対応方針の比較

ベンダーが示している対応方針は一つのみ：最新の Apache MINA 2.2.X ブランチへの移行である（出典：CVE公式記録）。

今やるべきこと

取るべき行動は以下の3点に集約される。

1. Apache MINA 3.0.0〜3.0.0-M2を使用している場合、ベンダーの告知に従い最新の Apache MINA 2.2.X ブランチへの移行を実施する。
2. 3.0.0ブランチは非アクティブであるため、ベンダーはこの問題を修正するバージョンをリリースする予定はないとしている。
3. 修正版が無いため、ベンダーの告知に従う。公式の回避策はCVE記録に示されていない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE公式記録（採番元CNA：apache）「CVE-2026-118636」— https://www.cve.org/CVERecord?id=CVE-2026-118636（2026年10月31日公開・最終更新）
• NVD（National Vulnerability Database）「CVE-2026-118636」— https://nvd.nist.gov/vuln/detail/CVE-2026-118636