Open Identity Platformは、アイデンティティ管理基盤「OpenAM」で18件の脆弱性を公表し、修正版「OpenAM 16.1.4」を公開した。現地時間2026年10月22日の発表後、それぞれにCVE番号が付与された。

18件のうち3件は、4段階の重要度で最も高い「クリティカル」と評価されている。公表された脆弱性はいずれも、10月のアップデートで修正されたとしている。

このうち「CVE-2026-123551」は、セッションの開始や終了などを通知するWebSocketへの接続時に認証チェックを回避し、利用者のセッショントークンを漏えいさせる脆弱性だ。悪用されると、管理者を含む利用者のセッションが乗っ取られる可能性がある。

CVE番号を採番したVulnCheckは、この脆弱性の共通脆弱性評価システム「CVSS v4.0」のベーススコアを、最高値の「10.0」と評価している。OpenAMを利用している場合は、使用中のバージョンと更新状況を確認することが重要となる。

MARBLEの対応例：この件の場合

MARBLEは、OpenAMの利用状況とバージョンをまず確認する。

  1. サーバーでのOpenAMの利用有無とバージョンを確かめる
  2. OpenAM 16.1.4への更新状況を確かめる
  3. 管理者を含む利用者のログインの仕組みを確かめる
  4. 更新が必要な場合は対応し、関連するプログラムの動作を確認する

関係するサービス

バージョンアップと改修150,000円〜

※金額は一例です。システムの構成や規模、作業の範囲によって変わります。

出典

Security NEXT「ID管理基盤「OpenAM」に複数の「クリティカル」脆弱性」（2026年11月9日）

この記事は、上の出典をもとに当社がまとめ直したものです（生成AIで下書きし、担当者が確認しています）。詳しい内容や最新の状況は、出典をご確認ください。