Apache MINA CVE-2026-118636はCritical―3.0系の逆シリアル化でRCEのおそれ

Apache Software Foundationは2026年10月31日、通信アプリケーション向け基盤Apache MINAのCVE-2026-118636を公表しました。公式評価はCritical、CVSS v3.1は9.8。対象は3.0系のJavaNativeMessageDecoderで、公式の影響範囲には3.0.0-M2が含まれます。

原因は、受信フレームをObjectInputStream.readObject()で復元する際、許可するクラスのフィルターがないことです。信頼できない相手の入力をこのデコーダーに渡すアプリケーションでは、利用可能なクラスを組み合わせた処理の連鎖によって、リモートコード実行につながるおそれがあります。

Apacheは3.0系の開発が停止しており、この系列の修正版を出す予定はないと明記しました。推奨は最新の2.2系です。依存ライブラリの名前だけで判断せず、3.0系の利用とデコーダーの組み込み箇所、外部から入力が届く経路を確認する必要があります。

移行時は通信形式や接続処理の互換性も検証してください。告知は実際の攻撃被害を報告したものではありませんが、修正版を待つだけでは解消しないため、該当構成を使う開発チームは移行対象と優先順位を決める必要があります。