【緊急】CVE-2026-48207 Apache Foryに深刻な脆弱性｜即時対応が必要

結論

Apache Foryにおける逆シリアル化の脆弱性が発見されました。この脆弱性は、特定の条件下で攻撃者によって悪用される可能性があります。利用者は、推奨されるバージョンにアップグレードする必要があります。

この記事の要点

• Apache ForyのPyForyに逆シリアル化の脆弱性が存在
• CVSSスコアは9.8で、高い危険性を示す
• 攻撃者が制御するデータを逆シリアル化することで悪用される可能性
• バージョン1.0.0以降へのアップグレードが推奨される

脆弱性の概要

Apache ForyのPyForyにおいて、信頼できないデータの逆シリアル化が発生する脆弱性があります。PyForyのReduceSerializerは、reduce-stateの復元やグローバル名解決の際に、文書化されたDeserializationPolicyの検証フックをバイパスする可能性があります。この脆弱性は、攻撃者が制御するデータを逆シリアル化し、厳格モードが無効になっているPyForyのPythonネイティブモードを使用するアプリケーションに影響を与えます。

項目	内容
CVE番号	CVE-2026-48207
公開日	2026-05-21T17:16:21.857000Z
対象システム	Apache Fory 1.0.0未満
脆弱性の種類	逆シリアル化の脆弱性
CVSSスコア	9.8
攻撃条件	認証不要 / ネットワーク経由

まず何をすべきか

• 使用しているApache Foryのバージョンを確認する
• バージョンが1.0.0未満の場合、アップグレードを検討する
• アップグレード後、DeserializationPolicyの設定を確認する

出典元

• NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-48207
• CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-48207
• security@apache.org：https://fory.apache.org/security/#cve-2026-48207-pyfory-reduceserializer-deserializationpolicy-bypass
• af854a3a-2127-422b-91ae-364da2661108：http://www.openwall.com/lists/oss-security/2026/05/21/10

対象システムと影響範囲

Apache Foryのバージョン1.0.0未満を使用しているシステムが影響を受けます。特に、厳格モードが無効になっている場合に脆弱性が顕在化します。

被害内容

この脆弱性が悪用された場合、攻撃者はアプリケーションの動作を制御したり、悪意のあるコードを実行することが可能になります。

既知の悪用状況

現時点では実際の攻撃への悪用は確認されていません。

対応方法

Apache Foryのユーザーは、バージョン1.0.0以降にアップグレードすることが推奨されます。このバージョンでは、影響を受けるReduceSerializerパスに対してDeserializationPolicyの検証が強制され、問題が修正されています。

FAQ

Q1. どの製品が影響を受けますか？

Apache Foryのバージョン1.0.0未満が影響を受けます。

Q2. まず何をすればよいですか？

使用しているバージョンを確認し、必要に応じてアップグレードを行ってください。

Q3. 実際の悪用は確認されていますか？

現時点では実際の攻撃への悪用は確認されていません。

参考情報

• NVD詳細ページ