CRITICAL暗号化・通信CVE-2026-2189公表日: 2026年10月27日 14:00 JST

OpenSSL 3.xにおけるリモートコード実行およびDoS脆弱性に関する注意喚起

● OFFICIAL REFERENCE SOURCE / 一次情報源

JPCERT/CC (一般社団法人JPCERTコーディネーションセンター)

脆弱性・インシデントの概要

OpenSSLの特定の暗号スイートネゴシエーション処理において、メモリ境界チェックの不備によるバッファオーバーフローの脆弱性が報告されました。悪意ある細工されたTLSハンドシェイクパケットを送信されることで、外部の攻撃者によりリモートから任意のコードが実行される恐れがあります。

Webサーバー、ロードバランサー、APIゲートウェイ等のSSL/TLS終端機器において、サービス停止（DoS）または不正な遠隔操作・秘密鍵を含む機密情報の漏洩につながる危険性があります。

OpenSSL 3.0.0〜3.0.15、3.1.0〜3.1.7、3.2.0〜3.2.3、3.3.0〜3.3.2 を使用しているLinuxサーバーおよびWebアプライアンス

各ディストリビューションおよびベンダーが提供する修正版パッケージへの即時アップデートを適用してください。また、HACHI等の非侵入スキャンツールを用いて外部から露出しているTLSプロトコルバージョン（TLS 1.3への一本化）を定期点検することを推奨します。

HACHI（蜂）は攻撃者の偵察視点から、SSL/TLS設定・HTTPヘッダー・SPF/DMARCなどの潜在リスクを非侵入・即時で無料診断します。