Broadcomは、Spring Frameworkおよび関連プロジェクトに影響する91件の共通脆弱性識別子(CVE)を公開しました。これによりソフトウェアサプライチェーンの修復対応が発生し、Sonatypeの試算では20万9,569件のソフトウェアコンポーネントに影響が及ぶとされています。
重大な脆弱性アラート
8月20日に発行されたアドバイザリは、AIによって加速する脆弱性発見のペースと、組織が影響を受けるソフトウェアを特定・修正・再ビルド・展開する能力との間のギャップが広がっていることを浮き彫りにしています。
91件のSpring関連CVEがソフトウェアコンポーネントに影響
今回のアドバイザリでは、Spring Security、Spring Cloud Config、Spring AI、Spring Data REST、Spring Integration、Reactor Core、Reactor Netty、Spring AMQP、Spring Batchなど、複数のSpringプロジェクトが対象となっています。
報告された脆弱性の種類には、安全でないデシリアライゼーション、信頼できないコードの実行、機密情報の漏洩、サーバーサイドリクエストフォージェリ(SSRF)、パストラバーサル、サービス拒否(DoS)、不適切な認可などが含まれます。
CVEの件数だけでは、影響の全体像を正確に反映しているとは言えません。脆弱なSpringライブラリは、アプリケーションに直接影響する場合もあれば、フレームワークのスターター経由、あるいは別のオープンソースプロジェクトを介して間接的に影響する場合もあるためです。
Sonatypeが示した影響コンポーネント数には、脆弱なSpringコードを内包するSpring以外のパッケージも含まれています。つまり、上流でパッチが提供されただけでは修復は完了せず、下流のプロジェクトがそれを取り込み、企業側は自社の資産棚卸しの中からそれを特定し、影響を受けるアプリケーションを再ビルドして再展開する必要があります。
特に注目すべきは、Spring for GraphQLにおける安全でないデシリアライゼーションの問題を特定したCVE-2026-59285です。CVSSスコアは9.2で、深刻度「Critical」に分類されています。
この脆弱性は、アプリケーションがJSONデシリアライゼーションにJackson 2.xを使用し、ページネーション対応のGraphQLフィールドを公開しており、かつデシリアライゼーションチェーン内で攻撃対象となり得るクラスを含んでいる場合に悪用される可能性があります。
各チームは、修正済みバージョンのSpring GraphQLへアップグレードする必要があります。この脆弱性が間接的な依存関係経由で影響する場合は、親の依存関係をアップグレードするか、メンテナーによる更新を入手する必要が生じる可能性があります。
さらに今回のリリースには、Spring AIのツール呼び出しに関する中程度(Medium)の深刻度の脆弱性であるCVE-2026-59318も含まれています。特定の条件下では、プロンプトインジェクションによってSpring AIが現在のリクエストでは本来利用できないはずのツールを呼び出してしまう可能性があり、リクエストの境界を越えて権限昇格につながる恐れがあります。
この問題は、エージェント型AIのセキュリティにおける重要な原則を改めて示しています。プロンプトは認可制御の代わりにはならないということです。ツールへのアクセスは、モデルに説明を与えるのではなく、アプリケーション層およびID管理層で強制的に制御される必要があります。
Spring関連アドバイザリの件数は、2026年に入ってすでに急増していました。Broadcomは以前、3月から4月にかけてSpringの月次アドバイザリ件数が1,700%以上増加したと報告しています。
3月単月だけでもSpringには55件のセキュリティ報告が寄せられ、4月には65のスキャン対象プロジェクトにわたって482件の報告が寄せられました。これらの結果には、社内で生成されたAI支援スキャンとコミュニティからの報告の両方が含まれていますが、Sonatypeは8月分のCVEについて特定のAIシステムに起因するとは断定していません。
データ漏洩防止
各組織は、本番環境、開発システム、成果物リポジトリ全体において、影響を受けるSpringのバージョンがどこに存在しているかを直ちに評価すべきです。
セキュリティチームは、インターネットに公開されているサービス、GraphQLの展開環境、AIツールを公開しているアプリケーション、そしてアクセス可能な脆弱コードを含むパッケージの保護を優先すべきです。ソフトウェア部品表(SBOM)と依存関係解析データは、直接的・間接的な両方の影響範囲を特定する上で役立ちます。
加えて、アップグレード後のテストでは、サポート対象のSpringバージョン系列全体にわたる互換性を確認する必要があります。AIによって脆弱性の発見が加速する中、コンポーネントインテリジェンスと修復の自動化は、ソフトウェアサプライチェーンにおいてますます重要な防御策となりつつあります。
調査の遅れによるインシデントを防ぎましょう。15,000のSOCから得られる脅威インテリジェンスでTier 1を強化: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/91-spring-cves-impact-over-209000-software-components/
