30秒で判断
- 対応すべき人: JBoss Marshalling を用いた Infinispan セッションレプリケーションを利用している方。
- 対応不要な人: 該当エラータを適用済みの方、Infinispanのセッションレプリケーションを使用していない方。
- 確認コマンド: クラスタ構成とInfinispan/JBoss EAPのバージョン、適用済みRHSAを確認。
概要
Infinispan のセッションレプリケーション経路が、JBoss Marshalling の River アンマーシャラを用いて、クラスフィルタリングなしにレプリケートされたセッションデータをデシリアライズします。このため、ガジェットチェーンを介したリモートコード実行が、クラスタを構成する全ノードで成立し得ます（CWE-502）。
セッションレプリケーションはクラスタ全体でデータを共有する仕組みのため、1ノードの悪用が全ノードへ波及する点でリスクが大きい構成です。同月にはEAP Artemisのデシリアライゼーション（CVE-2026-86404）なども公開されており、まとめて確認することを推奨します。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.8（High） |
| 攻撃元区分 (AV) | ネットワーク |
| 攻撃条件の複雑さ (AC) | 低 |
| 必要な権限 (PR) | 低 |
| CWE | CWE-502（信頼できないデータのデシリアライゼーション） |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| Infinispan / JBoss Marshalling | Red Hat | 対応エラータ未適用のバージョン |
修正バージョンと回避策
対応する Red Hat のセキュリティエラータ（RHSA-2026:53644 ほか）を適用してください。クラスタを構成する全ノードで漏れなく適用することが重要です。
関連リンク
データソース: NVD (NIST), Red Hat Security AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。