【重要】IBM i HTTPサーバー管理機能における重大な脆弱性について
2026年10月21日
IBMは、IBM iのHTTP Server Administration（HTTPサーバー管理GUI）において、重大なセキュリティ上の脆弱性が確認されたことを公表しました。
今回報告された脆弱性には、CVSS v3.1において深刻度9.9（10点満点）と評価されたものが含まれており、IBMは修正PTFの速やかな適用を強く推奨しています。
株式会社中部システムでは、IBM iをご利用のお客様に向けて、今回の脆弱性の概要と対策についてご案内いたします。
脆弱性の概要
今回の問題は、IBM iのHTTPサーバーを管理するためのWebインターフェース「HTTP Server Administration」に存在する脆弱性です。
IBMから、以下の2件が公表されています。
1. CVE-2026-96119（CVSS 9.9）
HTTPサーバー管理GUIにおける入力データの不適切な処理により、認証済みの攻撃者がシステム上で任意のコードを実行したり、機密情報を取得したりする可能性があります。
低い権限の認証ユーザーでも悪用できる可能性があり、非常に重大な脆弱性として評価されています。
2. CVE-2026-93886（CVSS 8.3）
HTTPサーバー管理GUIにおける入力値の検証不備により、クロスサイトスクリプティング（XSS）攻撃が成立する可能性があります。
特定の条件下で、認証済みの攻撃者によって不正なスクリプトが実行されるおそれがあります。
IBM iへの影響について
今回の脆弱性は、HTTPサーバー管理GUIに関するものであり、IBM iのHTTPサーバー（Apache）やPHPアプリケーションそのものの脆弱性ではありません。
攻撃が成立するためには、HTTPサーバー管理GUIへのネットワークアクセスや認証など、一定の条件が必要です。
そのため、管理GUIへのアクセスを社内ネットワークや管理者に限定している環境では、外部からの攻撃リスクを低減できます。
ただし、内部ネットワークからのアクセスや認証情報の悪用なども考えられるため、IBMが提供する修正PTFの適用が推奨されます。
対象バージョンと修正PTF
IBMが公表した対象バージョンおよび修正PTFは以下のとおりです。
| IBM iバージョン | 修正PTF |
|---|---|
| IBM i 7.3 | SJ11641 |
| IBM i 7.4 | SJ11643 |
| IBM i 7.5 | SJ11644 |
| IBM i 7.6 | SJ11645 |
上記のPTFは、今回報告された2件の脆弱性に対する修正としてIBMから案内されています。
なお、IBMは今回の脆弱性について、修正PTFの適用に代わる回避策はないとしています。
推奨される対応
IBM iをご利用のお客様におかれましては、以下の対応をご検討ください。
- HTTP Server Administrationの利用状況およびアクセス可能なネットワーク範囲を確認する。
- 対象となる修正PTFの適用状況を確認する。
- 未適用の場合は、業務への影響を確認したうえで、速やかな適用を計画する。
特に、HTTPサーバー管理GUIを利用している環境では、アクセス制限の状況にかかわらず、修正PTFの適用を推奨します。
今後の対応について
株式会社中部システムでは、今後もIBM iに関するセキュリティ情報を継続して収集し、必要に応じてお客様へご案内してまいります。
IBM iをご利用のお客様におかれましては、IBMの公式セキュリティ情報をご確認いただき、適切な対策をご検討くださいますようお願いいたします。