Apache Axis 1.xに緊急の欠陥、開発終了で修正版は出ず

やること

Apache Axis は SOAP という形式で別のシステムとやり取りするための Java の部品です。古い業務システムの中に入っていることがあるので、まず有無を調べてください。

• サーバーの中で axis.jar や axis-1.4.jar を探してください。Web アプリなら WEB-INF/lib の下にあることが多く、Maven を使うものは依存関係の axis:axis や org.apache.axis:axis を見てください
• 見つかったら、別の SOAP の部品へ移す計画を立ててください。開発元は Apache Axis2/Java などへの移行を勧めています
• すぐに移せない場合は、公開された修正を取り込んで作り直す方法があります。開発元は修正のコミットを公開していますが、Axis 1.x の新しいバージョンを出す予定はないとしています

移行までの間は SOAP の入口に接続できる相手を、取引先や社内の決まった IP アドレスに絞ってください。これは公式の案内ではありませんが、後で書くとおりサービスごとの認証では防げないので、ネットワークの側で絞る意味があります。

何が危ないのか

開発元は11月6日に CVE-2026-90436 を公表し、深刻度を critical（緊急）としました。CVSS の点数は公表されていません。

SOAP には、エラーを伝える fault というメッセージがあります。Axis 1.x はこの中に書かれたクラスの名前を受け取ると、そのクラスを読み込み、条件によっては作成まで進めます。適切な種類のエラーかどうかを確かめるのは、そのあとです。

クラスを読み込むだけでも、そのクラスの初期化の処理が動きます。アプリの中に都合のよいクラスがあれば、外部からコードを実行できるおそれがあります。どのクラスが使えるかはアプリごとに違うので、同じ Axis 1.x でも危険の大きさは変わります。

この処理はどのサービスを呼ぶかを決める段階で動きます。サービスごとに設定した認証の処理より前なので、認証を設定していても防げません。

Axis 1.x はサポートが終わった製品で、CVE の記録にも割り当て時点でサポート対象外だと記されています。Axis の公式ページに載っている最後のバージョンは、2006年4月の 1.4 です。公表された資料に悪用の記載はなく、CISA の悪用確認の一覧（KEV、11月6日版）にも載っていません。

Axis2 の修正

後継の Axis2/Java は別の製品で、CVE-2026-90436 の対象ではありません。ただし同じ日に、Axis2/Java 自身の7件の欠陥も公表されました。修正版は 2.0.2 です。

深刻度が important（重要）の2件は次のとおりです。

• CVE-2026-120761 は取り込んだ WSDL などの文書を通じてサーバーの中のファイルを読まれたり、サーバーから別の宛先へ通信させられたりするおそれがある欠陥です
• CVE-2026-123753 は認証のない呼び出し元が応答の宛先を指定し、社内の宛先へ接続させられるおそれがある欠陥です

2.0.2 では既定の動きが変わります。応答を別の宛先へ返す機能は既定で止まり、一部の連携は設定を足さないと動かなくなります。管理画面も利用者名とパスワードを自分で設定するまでは使えません。Axis 1.x から移すときも、2.0.2 以降を選び、動作を確かめてください。

対象

Axis 1.x は 1.4 までのすべてのバージョンが対象です。Axis2/Java は 2.0.2 より前が対象で、Swagger UI のページの欠陥 CVE-2026-123766 だけは 2.0.1 が対象です。

中小企業が確かめること

自社で Axis を入れた覚えがなくても、委託して作った Java のシステムや業務パッケージに含まれていることがあります。外部とデータをやり取りする古いシステムについて、委託先や開発元に Axis 1 を使っていないかを聞いてください。契約が切れて聞く相手がいないシステムは、サーバーの中のファイルを直接調べるしかありません。